漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-062345
漏洞标题：某移动代理服务器存在通用数据库账号和密码
相关厂商：中国移动
漏洞作者： 路人甲
提交时间：2014-05-27 12:51
修复时间：2014-08-25 12:52
公开时间：2014-08-25 12:52
漏洞类型：默认配置不当
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-27： 细节已通知厂商并且等待厂商处理中
2014-05-30： 厂商已经确认，细节仅向厂商公开
2014-06-02： 细节向第三方安全合作伙伴开放
2014-07-24： 细节向核心白帽子及相关领域专家公开
2014-08-03： 细节向普通白帽子公开
2014-08-13： 细节向实习白帽子公开
2014-08-25： 细节向公众公开
简要描述：
某移动代理服务器存在通用数据库账号和密码，数据库使用的是mysql，因为软件使用范围较广，漏洞可能无法在短时间内修补，担心公布后被人利用，有些细节的地方做了一些涂鸦。
详细说明：
此漏洞已经发现多年，担心公布后会对厂家有负面影响，一直没有提交到乌云。近日在做其他测试时，又重新测试了一下该漏洞，发现在互联网上仍有一些这类设备，存在内部信息泄露，希望能引起厂家的重视，并给出修复方案。
下面的信息请乌云确认漏洞后，予以删除，以免对厂商和用户带来不良影响：
这个设备名为：移动代理服务器，内置的mysql数据库账号为***，密码为jx***，经过几天的测试，已知影响以下ip，实际上互联网上还有不少这个设备：
218.202.***.***7
58.51.***.***
58.63.***.***
60.190.***.*** 医院
60.191.***.*** 某学院
58.54.***.*** 好像是什么银行
58.58.***.***
上面的信息请乌云确认漏洞后，予以处理，以免对厂商和用户带来不良影响。
漏洞证明：
漏洞证明：
知道设备的mysql用户和密码后，进入数据库，访问某库中的用户密码表，获得base64加密的密码：
进入后台：
后台界面，各种信息：
修复方案：
不要内置账号，或者使用随机用户名和密码。
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2014-05-30 22:13
厂商回复：
CNVD确认并复现所述情况，转由CNCERT协调中国移动通信集团公司通报处置。
最新状态：
暂无