当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-058907

漏洞标题：企业网站敏感文件任意下载导致数据库账户暴露

相关厂商：虎奔教育

漏洞作者： 路人甲

提交时间：2014-04-29 18:45

修复时间：2014-06-13 18:46

公开时间：2014-06-13 18:46

漏洞类型：重要敏感信息泄露

危害等级：高

自评Rank：15

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-04-29： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-06-13： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

配置不当导致敏感文件可被下载。

详细说明：

网站下存在一个web.rar的配置文件，可被任意下载：

1.png


打开是配置文件：

2.png


直接暴露数据库ip及明文账户密码（sa）：

3.png


数据库可用工具连接，可执行命令。

漏洞证明：

数据库可远程连接：

huben.png


配置文件中的部分代码：

<appSettings>
    <add key="DBConnStr" value="Data Source=42.96.185.174;database=huben_fahao;UID=sa;PWD=hubenjiaoyu1039;Connect Timeout=30;Min Pool Size=16;Max Pool Size=100;"/>
  </appSettings>
  <connectionStrings>
    <add name="DBConnStr" providerName="System.Data.SqlClient" connectionString="Data Source=42.96.185.174;database=huben_fahao;UID=sa;PWD=hubenjiaoyu1039;Connect Timeout=30;Min Pool Size=16;Max Pool Size=100;"/>
  </connectionStrings>


数据库ip，账户，密码。

修复方案：

无用的配置文件就删除吧；
否则设置访问权限。

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝