漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-062277
漏洞标题：风景网某接口未授权访问可导致被控制影响众多用户（已有挖矿机）
相关厂商：风景网
漏洞作者： s3xy
提交时间：2014-05-25 18:31
修复时间：2014-07-09 18:32
公开时间：2014-07-09 18:32
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-25： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-07-09： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
风景网某接口未授权访问导致可脱库（40万用户）
目测属于携程网旗下，和同程网也有关系。
详细说明：
漏洞地址为218.17.55.108:88 接口控制不严导致可直接访问
利用翻译功能可以上传文件
上传无过滤，利用审查元素功能查看shell地址
连接shell发现数据库帐号密码
成功连接数据库，发现用户数据表
我们来看看有多少条数据：403750条
在测试的过程中发现有人来过了：
另外还有些其它问题，一个是数据查询接口http://218.17.55.108:8081/api 直接访问
还有个更严重的问题是主站后台：http://218.17.55.108:100/
不需要登录直接访问http://218.17.55.108:100/admin/home/即可操作管理员账户，密码也是明文的。
顺便吐槽下，这密码也太。。。
成功登录主站后台
最后还有个问题是渗透中发现webmaster邮箱帐号[email protected]/fengjing123
漏洞证明：
接口
218.17.55.108:88
218.17.55.108:8081/api
邮箱
mail.fengjing.com webmaster/fengjing123
后台
218.17.55.108:100 admin/1、admin1/1 、wzh/0000
修复方案：
控制接口访问，增强口令强度。
版权声明：转载请注明来源 s3xy@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝