Nu credeam ca o sa mai gasesc asa ceva in scripturile “moderne” (desi recunosc ca imi doream asta), dar se pare ca m-am inselat. Cum ziceam, am gasit o vulnerabilitate foarte grava intr-un CMS care pare sa fie facut de cei de la softhost.ro , CMS folosit de multe site-uri (pe care, evident, tot ei le-au facut)
(“softhost.ro este o companie romaneasca ce dezvolta aplicatii software web-based si care ofera solutii de gazduire profesionale.”)

Cateva site-uri care folosesc in momentul de fata CMS-ul vulnerabil:

http://www.avocatnet.ro/

http://www.taxeimpozite.ro/

http://www.legalromania.com/

http://www.contractdemunca.ro/

http://www.infosrl.ro/

http://www.modeldecontract.ro/

http://www.lifeforlife.ro/

In ce consta vulnerabilitatea mai exact? Se poate executa cod PHP arbitrar. Proof of concept:
La accesarea link-ului: http://www.infosrl.ro/societate-comerciala/articol/id_71 totul e ok, se deschide articolul cu ID-ul 71:

La http://www.infosrl.ro/societate-comerciala/articol/id_71' deja apar php errors de prin softHostWS.php, zicand ceva de eval(). … hm… ceva nu e in ordine … CHIAR E EVAL(ceva . USER INPUT . altceva)?! Din pacate, da.

Sa vedem, reusim sa bagam o bucata de cod PHP incat sa formam un request valid? Sa incercam sa deschidem articolul cu ID-ul 713:
http://www.infosrl.ro/societate-comerciala/articol/id_71'.chr(51).'
chr(51) returneaza caracterul 3, concatenat cu restul string-ului formeaza 713, iar articolul rezultat e chiar articolul 713.

( se vede clar ca amandoua link-uri duc la acelasi articol => q.e.d. )

Sa vedem putin cum arata si softHostWS.php:

Da, chiar era eval(blabla). Si da, asta e phpshell pe hostul site-ului vulnerabil, obtinut, evident, dupa descoperirea&exploatarea vulnerabilitatii.

Related Posts

• February 3, 2009 -- Compromiterea serverului portal.edu.ro prin LFI