当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-080865

漏洞标题：撞库加社工导致某手机游戏服务器权限获取

相关厂商：北京颗豆互动科技有限公司

漏洞作者： 路人甲

提交时间：2014-10-27 16:06

修复时间：2014-12-11 16:08

公开时间：2014-12-11 16:08

漏洞类型：账户体系控制不严

危害等级：高

自评Rank：15

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-10-27： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-12-11： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

通过撞库，获取管理人员的邮箱，在收集信息之后，成功社工到游戏服务器root权限，可以看到log、db、game服务器，gm server服务器暂时未渗透

详细说明：

通过网络收集信息，成功撞库，并获取

1.png


获取运维人员袁海娜的邮箱，其邮箱中有部分敏感信息，当下测试了下！

Angel  0:23:33
공인IP(eth1)      / IDRAC IP          / 사설망 (eth2)
58.229.184.67 / 192.168.184.67	      / 10.22.184.67	/ eth3(사설망) : 192.168.184.254
58.229.184.68 / 192.168.184.68	      / 10.22.184.68
58.229.184.69 / 192.168.184.69	      / 10.22.184.69
58.229.184.70 / 192.168.184.70	      / 10.22.184.70
58.229.184.71 / 192.168.184.71	      / 10.22.184.71
IDRAC 접속정보는 모두 동일합니다
ID : root
PW : （这是马赛克）
SSH PORT = 36000 번
### VNC 정보입니다.
VNC PORT = 5901 번
VNC 접속IP : 58.229.184.67:5901
VNC PW : （这也是马赛克）


mask 区域 
*****0:23*****
***** IP          /*****
**********
*****.22.184.67	/ eth3(사*****
**********
*****.184.68	    *****
**********
*****.184.69	    *****
**********
*****.184.70	    *****
**********
*****.184.71	    *****
**********
**********
***** 모두 동*****
**********
*****roo*****
*****zkd*****
**********
*****= 360*****
**********
**********
*****보입*****
**********
*****= 590*****
*****58.229.1*****
*****카^*****

漏洞证明：

2.png

3.jpg


成功登录服务器，未做深入渗透，免其影响运行！

修复方案：

加强安全体系管理，建议加强密码管理，加强服务器授权访问

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝