中华人民共和国人力资源和社会保障部 bug严重

漏洞概要

缺陷编号:WooYun-2012-05761

漏洞标题:中华人民共和国人力资源和社会保障部 bug严重

相关厂商:中华人民共和国人力资源和社会保障部

漏洞作者:possible

提交时间:2012-04-06 00:42

公开时间:2012-05-19 00:43

漏洞类型:未授权访问/权限绕过

危害等级:高

自评Rank:15

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2012-04-06: 细节已通知厂商并且等待厂商处理中
2012-04-08: 厂商已经确认,细节仅向厂商公开
2012-04-18: 细节向核心白帽子及相关领域专家公开
2012-04-28: 细节向普通白帽子公开
2012-05-08: 细节向实习白帽子公开
2012-05-19: 细节向公众公开

简要描述:

中华人民共和国人力资源和社会保障部 未授权访问,可得shell.

详细说明:

中华人民共和国人力资源和社会保障部 网站由于用户管理页面没有权限限制,导致任意访问,添加账户,登录后台,后台上传客户端限制,绕过后可得shell,虽然shell不是系统权限,但是可以修改站点文件,数据库等,危害还是挺大。

漏洞证明:

以下操作仅为了证明漏洞存在,未做任何破坏.

测试过程:1.一个任意文件下载点http://**.**.**.**/download?path=WEB-INF\classes\com\flx\struts\base/BaseAction.class2.可以下载到站点的配置文件,主要是些xml文件3.最大量xml中,找到添加用户界面http://**.**.**.**/view/AccessControl/userManagementUserEdit.jsp使用下载点,可以创建一个账号(由于不知道管理员组,因此只创建了一个普通账号权限不够)4.使用创建的账号访问http://**.**.**.**/userGroupManagement.do?command=save可以管理用户组,在管理员组中重新添加一个管理员 重新登录进后台5.上传点客户端验证,简单绕过,得shell.当然可能还有更简单方法...

修复方案:

未有权限限制直接可以访问页面很多,建议逐一检查:如:http://**.**.**.**/view/ImageManage/sysImage/sysImageUpload.jsp

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:14

确认时间:2012-04-08 18:38

厂商回复:

CNVD确认所述漏洞情况,复现部分过程。将在周一作为重要事件处置。对该漏洞评分如下:
CVSS评分:(AV:R/AC:L/Au:NR/C:C/A:P/I:P/B:N) Score:8.97(最高10分,高危)
即:远程攻击、攻击难度低、不需要用户认证,对机密性造成完全影响,对可用性、完整性造成部分影响。技术难度系数:1.0(一般)
影响危害系数:1.7(严重,涉及重要部门主站系统)综合评分:8.97*1.0*1.7=14.352

最新状态:

暂无

评价

  1. 2010-01-01 00:00 水泥中的鱼 白帽子 | Rank:28 漏洞数:3)

    这事不小~~~

  2. 2010-01-01 00:00 possible 白帽子 | Rank:296 漏洞数:31)

    @水泥中的鱼 不会找我吧 好怕... 只是无意看到,花点时间顺便证明一下,什么都没干呀 呵呵

    管理我的题目上 还有 友情提示呢 咋没了?

  3. 2010-01-01 00:00 水泥中的鱼 白帽子 | Rank:28 漏洞数:3)

    @possible 没有没有,就是乱猜下,政府站伤不起啊,就怕没干啥被扣帽子,那就郁闷了,我也小菜鸟一个乱说的。

  4. 2010-01-01 00:00 期待爱 白帽子 | Rank:19 漏洞数:3)

    做好准备 被跨的心里吧。天朝的站你伤不起

  5. 2010-01-01 00:00 SZn 白帽子 | Rank:8 漏洞数:3)

    最近,好像各个部很受关注啊!

  6. 2010-01-01 00:00 possible 白帽子 | Rank:296 漏洞数:31)

    @SZn 无意间看到...
    主要还是国内安全意识不高呀,都是小公司的产品,漏洞百出也很正常...
    而且使用这套代码都是重要部门,这就是国内安全现状...

  7. 2010-01-01 00:00 瓜瓜 白帽子 | Rank:158 漏洞数:24)

    WEB-INF\classes\com\flx\struts\base/BaseAction.class
    这个事怎么找到的?

  8. 2010-01-01 00:00 Topman王 白帽子 | Rank:31 漏洞数:6)

    楼主不怕跨省?

  9. 2010-01-01 00:00 Moments 白帽子 | Rank:50 漏洞数:9)

    看来政府的虚拟化建设的还可以,已经实际投入到生产环境啦

  10. 2010-01-01 00:00 possible 白帽子 | Rank:296 漏洞数:31)

    @Topman王 @瓜瓜 这个class文件主要是通过文件下载点,找到一个动态页面如1.jsp,里面就会有数据库操作的class,通过类直接的继承关系,就可以找到数据库操作类。有点类似爬虫思想,形象的是顺藤摸瓜...

    非常怕跨省,可是我不是第一个吃螃蟹的人,有人已经发过部级站点...

  11. 2010-01-01 00:00 Topman王 白帽子 | Rank:31 漏洞数:6)

    @possible 推荐去弄弄军工企业的

  12. 2010-01-01 00:00 瓜瓜 白帽子 | Rank:158 漏洞数:24)

    @possible 奥,有点懂了,看来应该学学jsp了...

  13. 2010-01-01 00:00 possible 白帽子 | Rank:296 漏洞数:31)

    @瓜瓜 简单看看就行 我也不怎么会 就知道点基础