释锐教育校校用平台通用远程命令执行

2015-01-2900:00:00

Root

www.seebug.org

JSON

简要描述：

释锐教育校校用平台通用远程命令执行，可批量getshell.

详细说明：

一、
上海释锐网络信息服务有限公司成立于2002年，是一家注册并入住张江高科技园区的教育软件企业。释锐™致力于传播教育先进力量，为教育行业用户提供从校校用™软件及服务、910SPACE.COM教育社区网站运营到教育论坛与咨询服务等全方位的教育信息化应用解决方案，通过教育信带动推动教育现代化。荣誉与市场地位： 1.“释锐®校校用™平台”2004荣获“上海市中小学教育信息化应用示范项目”。 2.“释锐®校校用™平台”2008荣获“上海市张江高科技园区科技创新专项资金政府资助项目”。 3.“释锐®校校用™平台”2009荣获“上海市科技型中小企业技术创新项目”。 4.截至2009年6月，释锐公司在基础教育领域已经累计研发时间超过6年，投入经费超过2000万元，发展了来自全国各地的中高端学校类客户1500多家，网站个人类客户15万人，为超过50万直接终端客户连续6年提供了高品质服务。雄踞上海市重点中学（示范性实验高中、初中）40%的市场份额。软件服务： 1.释锐更重视售后服务； 2.释锐保/ThreePLUS专有服务品牌，提供24小时随叫随到延续保障服务； 3.释锐™校校用™SAAS软件托管服务，构建云计算软件应用新模式。

二、在测试过程中，发现该系统用于各中小学校，然而在系统开发中却加入中JBoss做为中间件，但该中间件版本却是使用了有问题的 Servlet 2.4; JBoss-4.0.5.GA。
存在一个invoker/JMXInvokerServlet接口，该接口可远程部署上传war，可进行批量getshell。
三、
影响的站点：
jgxx.hkedu.sh.cn
www.hxyz.com.cn:81
123.178.106.34:8080
www.nj29jt.net:88
221.226.101.250
218.3.207.47:8080
xz34z.xze.cn:8080
116.236.133.130:81
zjcsnz.zje.net.cn:8080
218.94.62.26:8000
www.mdsz.com.cn:8080
deyu.dfzx.net.cn
xxjs.dfzx.net.cn
222.132.30.248
www.dfzx.net.cn
www.tyjsw.net
grecord.sjfls.sjedu.cn:81
58.216.183.197:8090
下面将用一个站点做为getshell案例：
dfzx.net.cn

进一步测试发现，大部门的站点均是以system账户运行该系统。

四、
通用sa账号及密码：

&lt;?xml version="1.0" encoding="UTF-8"?&gt;
&lt;datasources&gt;   
  &lt;local-tx-datasource&gt; 
    &lt;jndi-name&gt;DBConnectionAspDS&lt;/jndi-name&gt; 
    &lt;connection-url&gt;jdbc:sqlserver://127.0.0.1:1433;databaseName=xiaoxiaoyong_school&lt;/connection-url&gt; 
    &lt;driver-class&gt;com.microsoft.sqlserver.jdbc.SQLServerDriver&lt;/driver-class&gt; 
    &lt;user-name&gt;sa&lt;/user-name&gt; 
    &lt;password&gt;threenet&lt;/password&gt; 
      &lt;metadata&gt; 
         &lt;type-mapping&gt;MS SQLSERVER2000&lt;/type-mapping&gt; 
      &lt;/metadata&gt; 
  &lt;/local-tx-datasource&gt; 
	
	
  &lt;local-tx-datasource&gt;
    &lt;jndi-name&gt;MasterDS&lt;/jndi-name&gt;
    &lt;connection-url&gt;jdbc:sqlserver://127.0.0.1:1433;databaseName=master&lt;/connection-url&gt; 
    &lt;driver-class&gt;com.microsoft.sqlserver.jdbc.SQLServerDriver&lt;/driver-class&gt; 
    &lt;user-name&gt;sa&lt;/user-name&gt; 
    &lt;password&gt;threenet&lt;/password&gt; 
      &lt;metadata&gt; 
         &lt;type-mapping&gt;MS SQLSERVER2000&lt;/type-mapping&gt; 
      &lt;/metadata&gt; 
  &lt;/local-tx-datasource&gt; 
  
&lt;/datasources&gt;

漏洞证明：

进一步测试发现，大部门的站点均是以system账户运行该系统。

四、
通用sa账号及密码：

&lt;?xml version="1.0" encoding="UTF-8"?&gt;
&lt;datasources&gt;   
  &lt;local-tx-datasource&gt; 
    &lt;jndi-name&gt;DBConnectionAspDS&lt;/jndi-name&gt; 
    &lt;connection-url&gt;jdbc:sqlserver://127.0.0.1:1433;databaseName=xiaoxiaoyong_school&lt;/connection-url&gt; 
    &lt;driver-class&gt;com.microsoft.sqlserver.jdbc.SQLServerDriver&lt;/driver-class&gt; 
    &lt;user-name&gt;sa&lt;/user-name&gt; 
    &lt;password&gt;threenet&lt;/password&gt; 
      &lt;metadata&gt; 
         &lt;type-mapping&gt;MS SQLSERVER2000&lt;/type-mapping&gt; 
      &lt;/metadata&gt; 
  &lt;/local-tx-datasource&gt; 
	
	
  &lt;local-tx-datasource&gt;
    &lt;jndi-name&gt;MasterDS&lt;/jndi-name&gt;
    &lt;connection-url&gt;jdbc:sqlserver://127.0.0.1:1433;databaseName=master&lt;/connection-url&gt; 
    &lt;driver-class&gt;com.microsoft.sqlserver.jdbc.SQLServerDriver&lt;/driver-class&gt; 
    &lt;user-name&gt;sa&lt;/user-name&gt; 
    &lt;password&gt;threenet&lt;/password&gt; 
      &lt;metadata&gt; 
         &lt;type-mapping&gt;MS SQLSERVER2000&lt;/type-mapping&gt; 
      &lt;/metadata&gt; 
  &lt;/local-tx-datasource&gt; 
  
&lt;/datasources&gt;

JSON