当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-044169

漏洞标题:通策控股集团网站存在SQL注入后续

相关厂商:杭州爱铂财务管理信息服务有限公司

漏洞作者: 袋鼠妈妈

提交时间:2013-11-27 15:39

修复时间:2014-01-11 15:39

公开时间:2014-01-11 15:39

漏洞类型:账户体系控制不严

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-11-27: 细节已通知厂商并且等待厂商处理中
2013-11-27: 厂商已经确认,细节仅向厂商公开
2013-12-07: 细节向核心白帽子及相关领域专家公开
2013-12-17: 细节向普通白帽子公开
2013-12-27: 细节向实习白帽子公开
2014-01-11: 细节向公众公开

简要描述:

通策控股集团网站存在SQL注入后续,会不会是继续忽略的节奏呢......

详细说明:

WooYun-2013-42463:http://wooyun.org/bugs/wooyun-2013-042463
之前说通策控股集团网站存在SQL注入上传并能获取shell,结果被华丽丽的忽略掉了,漏洞未改,但同时也把那个存在坏链的网站关闭了,有些郁闷,有点奇怪,为撒子集团网站被拿下了都能忽略,后来通过相关信息,发现这个网站并不是什么主站,大概只是一个其员工博客而已,只不过网站名称冠以通策控股集团。那行,我们通过现有资源,看看能发现些什么有价值的:
1.翻了翻网站目录,找到两个有用的信息文件,包括:
1)数据库连接信息.
2)额外得到的一个邮箱账户.

/*数据库连接信息*/
common_lib/config/GlobalDBConfig.php
<?php
/**
* 鍏ㄥ眬鏁版嵁搴撻厤缃?
* @author Zhang zenglun <[email protected]> 2012-3-5
* @link http://www.eetop.com
* @copyright Copyright &copy; 2003-2012 eetop.com
* @license
*/
class GlobalDBConfig {
public static $dbhost = 'localhost';
public static $dbuser = 'sbs_topchoice';
public static $dbpw = 'IpEYuN';
public static $dbcharset = 'utf8';
public static $pconnect = 0;
public static $dbname = 'sbs_topchoice';
}
?>


/*数据库信息以及一个邮箱账户信息*/
/common_lib/config/online/config.php
<?php
define ('DB_HOST', 'localhost' );
define('DB_USER','sbs_topchoice');
define('DB_PW','IpEYuN');
define('DB_CHARSET','utf8');
define('P_CONNECT',0);
define('DB_NAME','sbs_topchoice');
define('MAIL_USER','[email protected]');
define('MAIL_PASS','1234567');
define('MAIL_FROM','[email protected]');
define('MAIL_SITE','娴欐睙閫氱瓥鎺ц偂闆嗗洟');
define('WEBSITE_NAME','娴欐睙閫氱瓥鎺ц偂闆嗗洟');
define('WEBSITE_URL','http://www.topchoice1.com.cn/');
define('COOKIE_EXPIRED_TIME',2592000);//涓€涓湀/绉?
define ( 'SBS_AUTH_KEY', 'SBS_AUTH_KEY_secret_key' );
define ( 'WEB_KEY', '2356873822011e1942383fc4a12cc85' );


2.登录邮箱看看,尝试http://mail.eetop.com/,用[email protected]/1234567登录OK,
里面很多验证邮件,信息量不大,进入"公用文件夹",信息不那么单一了,还有最新"通讯录"(老总的号码就是不错,除了8就是6),

1.GIF


2.GIF


5.GIF


3.通讯录里面的邮箱地址也不少,而且网站topchoice.com.cn的注册也是关联其公司邮箱,于是连接数据库查询了几组sbs_users表中的pasword的md5,想一般人设置密码的惯性,通过topchoice.com.cn的网站密码进入到邮箱试试.测试了几十组发现没一个能破解的,NND,这公司也忒变态了.重新看了下sbs_users表,发现有个字段是salt.应该是MD5加盐,如果我们找到算法构造一个加盐MD5库,总能找到弱口令吧?

common_lib\services\memberuser\service\UsersService.php:
public function saveUser($param) {
$time = time ();
$user ['username'] = $param ['userName'];
$user ['password'] = $param ['password'];
$user ['lastloginip'] = $user ['regip'] = Yii::app ()->request->getUserHostAddress ();
$user ['lastlogintime'] = $user ['regdate'] = $time;
$user ['is_display'] = 1;
$user ['salt'] = RandomUtil::getSalt ();
$user ['password'] = md5 ( md5 ( $user ['password'] ) . $user ['salt'] );
$detail ['sex'] = $param ['sex'];
$detail ['nick_name'] = $param ['nickName'];
$detail ['identity'] = $param ['identity'];
//TODO 认证以后要改的
$detail ['is_authentication'] = 1;
$detail ['area'] = $param ['area'];
$detail ['gmt_create'] = $detail ['gmt_modified'] = $time;


$user ['password'] = md5 ( md5 ( $user ['password'] ) . $user ['salt'] )


4.算法有了,写个工具按照弱口令+salt按照算法生成需要的库,这里的弱口令按照邮件的用户名及几个弱口令测试,后来加上了80年-93年的6位生日

111111
123456
12345678
1234567
123456789
000000
111111
222222
…………
999999
147258
159357
abc
qweqwe


生成了270多W的数据,和sbs_users表对比出来大概有180多条,当然不能保证用于topchoice的密码能用于邮箱,在后来的尝试登录的十来个帐号中发现大部分密码是1234567,猜测应该是初始密码,有了这么些个邮箱的账户密码,这下信息量应该不小了。

3.GIF


4.GIF


漏洞证明:

PS:真心觉得你们气氛灰常不错哇。不愧是集团啊,各种设施都是高端大气上档次啊~~~

7.gif

8.gif


敏感的就不贴了,记得周三我们伪装网管~~
还看到了wooyun的提醒邮件:

9.GIF

修复方案:

弱口令,会不会是继续忽略的节奏呢......

版权声明:转载请注明来源 袋鼠妈妈@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2013-11-27 15:52

厂商回复:

谢谢,这个问题,我们会立即找研发查看的

最新状态:

暂无