当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2010-0388

漏洞标题:微软全系统建立隐藏账户漏洞

相关厂商:微软

漏洞作者: only_guest

提交时间:2010-08-31 21:26

修复时间:2010-08-31 23:08

公开时间:2010-08-31 23:08

漏洞类型:设计缺陷/逻辑错误

危害等级:低

自评Rank:5

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2010-08-31: 积极联系厂商并且等待厂商认领中,细节不对外公开
2010-08-31: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

可以通过特殊字符建立隐藏账户.命令行界面下不显示,用户管理面板中显示为空.非$..

详细说明:

可以通过智能ABC输入法中V9里的空白字符建立隐藏帐号,命令行下无法建立,可以先写个批处理,如下:
net user 123 /add
net localgroup administrators /add
注意其中的空白字符.非空格.
建立后命令行下用net user命令查看账户显示为空白,在用户界面中同样显示空白.
建立此帐号后无法在mstsc中直接输入登陆,需要在远程桌面的选项面板的常规选项卡中的用户名一栏里用智能ABC的V9输入特殊字符后再次连接.

漏洞证明:

新建一个批处理,内容如下.
net user 123 /add
net localgroup administrators /add
执行后查看用户管理界面,看看是否有个空白帐号.

修复方案:

过滤这些特殊字符吧.

版权声明:转载请注明来源 only_guest@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:5 (WooYun评价)