漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-061548
漏洞标题：浪潮某软件产品存在通用数据库账号和密码
相关厂商：浪潮软件
漏洞作者： 路人甲
提交时间：2014-05-20 09:32
修复时间：2014-08-18 09:34
公开时间：2014-08-18 09:34
漏洞类型：设计错误/逻辑缺陷
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-20： 细节已通知厂商并且等待厂商处理中
2014-05-25： 厂商已经确认，细节仅向厂商公开
2014-05-28： 细节向第三方安全合作伙伴开放
2014-07-19： 细节向核心白帽子及相关领域专家公开
2014-07-29： 细节向普通白帽子公开
2014-08-08： 细节向实习白帽子公开
2014-08-18： 细节向公众公开
简要描述：
浪潮某软件产品使用的数据库为sqlserver，存在通用数据库账号和密码，因为通过搜索引擎可以查到具体数据库用户名和密码，所以有些细节的地方做了一些涂鸦，以免被人利用。
详细说明：
此漏洞已经存在多年，不知道新版的产品有没有类似漏洞。近日在做其他测试时，又重新测试了一下该漏洞，发现在互联网上仍有一些系统存在该漏洞，希望能引起厂家的重视。
漏洞产生的原因，个人认为可能是该软件为c/s结构，一般会有一个或几十个用户使用，为了方便用户操作，每建立一个应用程序的用户，程序就会自动在数据库中新建一个表，并对应建一个以l开头的数据库用户和一个通用的密码，每个l开头的数据库用户名都是有规律的，而且密码都是一样的，所以入侵者也就有了其他新建表的数据读取权限。估计这么做是为了方便用户在前台的程序操作上，而不需要关心后台数据是如何运行的，但这样就产生了安全隐患，好在这些新建的数据库用户只是dbo权限，无法执行master中的xp_cmdshell。
下面的信息请乌云确认漏洞后，请予以删除，以免对厂商和用户产生不良影响：
有漏洞的软件为浪潮财务软件，自动建立的数据库用户名为lc00***，lc00***，lc00***，以此类推，密码都是a***，在外网发现了不少安装有这个软件的服务器，内网用户就更多了，已知影响外网的服务器有一下：
上面的信息请乌云确认漏洞后，请予以删除，以免对厂商和用户产生不良影响。
漏洞证明：
漏洞证明：
该软件产品的数据库表结构：
修复方案：
可考虑随机生成用户名和密码
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2014-05-25 08:59
厂商回复：
作为默认部署情况，暂不作为漏 洞 进行确认，以安全风险进行认定。已经由cnvd直接通报山东浪潮齐鲁软件股份产业有限公司，由其协助处置。
最新状态：
暂无