圣诞节快乐–华为hi365导航站SQL注入导致网站成功入侵

漏洞概要

缺陷编号:WooYun-2012-016507

漏洞标题:圣诞节快乐--华为hi365导航站SQL注入导致网站成功入侵

相关厂商:华为技术有限公司

漏洞作者:hack2012

提交时间:2012-12-26 10:09

公开时间:2013-02-09 10:10

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2012-12-26: 细节已通知厂商并且等待厂商处理中
2012-12-28: 厂商已经确认,细节仅向厂商公开
2013-01-07: 细节向核心白帽子及相关领域专家公开
2013-01-17: 细节向普通白帽子公开
2013-01-27: 细节向实习白帽子公开
2013-02-09: 细节向公众公开

简要描述:

本次检查是前次乌云某牛检测的衍生,原贴地址:http://www.wooyun.org/bugs/wooyun-2012-014603,上次成功入侵是光棍节,此次是圣诞节,又要辛苦华为管理员补洞了。。

详细说明:

今天无意间看到rvey检查出华为FTP弱密码的漏洞,顺手测试了一下,发现已经修复就想再次突破一下,于是就有了下面的检测。1、首先看到了之前图片里面暴露了一个地址:http://www.huaweishop.net/webalizer/

这个地址是Web访问统计分析系统,看到里面有hi356的地址,源码是Dede的。2、统计地址:http://www.huaweishop.net/webalizer/usage_201209.html

3、发现后台地址:http://www.huaweishop.net/hi365/himanager/

4、利用dede的某0day成功暴出管理员的密码:

漏洞证明:

1、成功登录后台:

2、成功上传shell

修复方案:

1、删除dede会员注册模块2、升级为最新版Dede3、webalizer目录加上权限设置,可以使用htpasswd来搞定。4、其它华为管理员比我更懂的。

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:18

确认时间:2012-12-28 10:45

厂商回复:

已通知业务部门修改,感谢白帽子支持~

最新状态:

暂无

评价