一个远程代码执行漏洞搞定Yahoo, Microsoft, Orange

写在前面：

一个埃及黑客通过一个文件上传，拿下了多个大型厂商旗下网站。而且这个哥们说话蛮逗的，很有喜剧效果。英文原文看这里。

正文:

Hello，大家好，今天我将给大家展示一个由“Unauthorized Admin Access” 引起的 “Remote Code Injection” 我是用这个漏洞搞定了Yahoo, Microsoft和Orange的网站噢。

不可思议，是不是？那下面就是见证奇迹的时刻。有一天我在yahoo的页面上乱转，在我寻找管理后台的时候，找到了这样一个页面。（其中ymx代表我自己的账号）http://mx.horoscopo.yahoo.net/ymx/editor/

不需要任何认证就登陆进去了，我本以为他会说 “Unauthorized Admin Access AKA Indirect Object Reference“的，呵呵呵呵。

你看到左侧的文件列表了嘛？我也可以创建一个类似的aspx文件。首先先来截取一下POST提交的数据。

你看到POST: FileName=zigoo.aspx&FileContent=zigoo这一行的时候应该已经清楚了，我可以使用任何内容来进行替换。(碉堡了，有木有！)

那我就随便写点什么吧，这已经可以证明漏洞的存在了。

下面我们来邪恶的找一找，有哪些子域名存在这个漏洞：

#Yahoo:

http://pe.horoscopo.yahoo.net

http://mx.horoscopo.yahoo.net

http://ar.horoscopo.yahoo.net

http://co.horoscopo.yahoo.net

http://cl.horoscopo.yahoo.net

http://espanol.horoscopo.yahoo.net

#Microsoft MSN:

http://astrocentro.latino.msn.com/

http://astrologia.latino.msn.com/

http://horoscopo.es.msn.com/

http://horoscopos.prodigy.msn.com

#Orange:

http://astrocentro.mujer.orange.es

当我测试这些网站的时候，NB的我又发现了一个，惊！天！大！秘！密！我只要在一个子域名下创建这个页面，其他子域名也会自动的中招。隔山打牛啊，有木有。

于是乎，我把这个漏洞上报给了微软，微软淡定的回了一句"我们会调查的."好吧，让他们慢慢调查去。我们来猜测一下这种指一打百的情况是怎么发生的。我猜测是一个CDN服务器把缓存中的内容提供给所有的子域名，所以导致了一个域名下出现文件，其他所有域名都会受影响的情况。

下面是一段POC的视频：

最后来打点一下战果：

#Yahoo_Case

yahoo本来是不为漏洞支付赏金的，但是哥发现的这个漏洞涉及到了6个子域名，影响蛮大的。所以他们准备，奖励我一下下。

#MSN_Case

我去问微软要奖金，结果微软压根不鸟我，而且他们肯定偷偷把漏洞修复了。WTF

#Orange_Case

和Orange联系简直是地狱级难度，所以我就放弃了。但所幸的是，微软放出了修复补丁修复了包括Orange在内的所有服务器。