漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-04439
漏洞标题：杭州某公司某系统目录暴露，导致可控制其在市内所有新华频媒终端
相关厂商：杭州市委宣传部
漏洞作者： shine
提交时间：2012-02-12 12:17
修复时间：2012-03-28 12:18
公开时间：2012-03-28 12:18
漏洞类型：重要敏感信息泄露
危害等级：高
自评Rank：18
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-02-12： 细节已通知厂商并且等待厂商处理中
2012-02-12： 厂商已经确认，细节仅向厂商公开
2012-02-22： 细节向核心白帽子及相关领域专家公开
2012-03-03： 细节向普通白帽子公开
2012-03-13： 细节向实习白帽子公开
2012-03-28： 细节向公众公开
简要描述：
该公司系统目录暴露！
详细说明：
今天有时间整理一下，杭州一统影视技术有限公司新华频媒终端系统目录暴露！
*说明一下，厂商选择杭州市委宣传部，是希望问题能高效率得到解决（这公司不好找），杭州市政府也应该很关心这方面的问题，杭州市政府是最重视城市形象的。在此为这座美丽的城市，网络或信息化建设在安全方面出点微薄之力！
描述前，请允许我先装X一下（主要是就这么一简单漏洞处理流程，时间久了难免感觉乏
味！）。以下部分内容可不查看：
本来想先留着，过段时间模仿其系统写个对应系统，实现向全市人民直播我某一场dota比赛或录播我那场6.51时代经典.rep，26分钟22杀0死BB猪（在四位队友方圆2000码外观战的情况下，以一敌五，在对方DPS输出30秒后，依然坚挺妖娆走位！可能间接影响到IceFrog，对小魔棒和龙心机制的修改）哈哈！
好了，不扯淡了！真播放了，市政府肯定要找我麻烦了！
——————————————————————————————————————
漏洞证明：
web服务器系统目录暴露，如图：
该文件夹中保存了j2ee终端系统的部署文件,如图：
由于使用了统一密码原故，导致两服务器沦陷，如图：
对应的系统，如图：
这些终端分布在市内，各个公共场所、政府机构大楼内等，如图：
如果不法分子利用其发布一些虚假信息，必造成恐慌，如：
————————————————————————————————————————
市政府紧急通知：由于自来水公司故障，全市未来三天将出现断水情况，请市民今天XX时
间前储备三天所需用水。望相互转告！
————————————————————————————————
假设，这一天10w杭州市民看到这些信息，1w人相信其为真实信息，其中有5000人为一个
家庭或单身住户基数，然后分别向其他人转告，形成蝴蝶效应！全部开启水龙头最大马力放
水，那供水公司表示压力很大！
没什么技术含量，但或能成为城市基础建设信息化安全方面之典型案例！
感谢CNCERT的礼物！
修复方案：
下次注意了！
版权声明：转载请注明来源 shine@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2012-02-12 19:34
厂商回复：
CNVD未直接确认或复现利用过程，根据白帽子报送信息截图确认，同时请Shine联系[email protected]，以便CNVD转入CNCERT处置工作流程。
鉴于可能引发公共危害，给予shine rank 20。 Shine 同学一直以来都深入挖掘漏洞引发的威胁，建议各位白帽子参考。
从这个漏洞开始，在遵循wooyun rank评级的基础上，CNVD 将采用自主评分体系（同时对应rank），得分公式参考：CNVD评分=CVSS评分*技术难度系统*影响危害系数。
本漏洞CNVD评分：10.00（高危）*0.9（较小）*2.2（较严重）=19.8
其中，CVSS：(AV:R/AC:L/Au:NR/C:C/A:C/I:C/B:N)
对应wooyun rank（四舍五入），20。
以后CNVD评分超过20的对应wooyun rank 均为20.
最新状态：
2012-02-12：得分公式更正：CNVD评分=CVSS评分*技术难度系数*影响危害系数。