当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0118680

漏洞标题：针对知网CNKI一次简单的渗透测试

相关厂商：中国知网

漏洞作者： RedFree

提交时间：2015-06-07 10:31

修复时间：2015-07-26 18:40

公开时间：2015-07-26 18:40

漏洞类型：系统/服务运维配置不当

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-06-07： 细节已通知厂商并且等待厂商处理中
2015-06-11： 厂商已经确认，细节仅向厂商公开
2015-06-21： 细节向核心白帽子及相关领域专家公开
2015-07-01： 细节向普通白帽子公开
2015-07-11： 细节向实习白帽子公开
2015-07-26： 细节向公众公开

简要描述：

一个由外网渗透到CNKI内网的过程，因六月有更重要的事情要做，渗透到此为止。已知会忽略，提交权当笔记。^_^

详细说明：

一个由外网渗透到CNKI内网和获取敏感数据的过程。
整个渗透过程大致分为四部分：
一、弱点刺探：打开通向内网之门
一次偶然的机会接触到了CNKI的“大学生论文管理系统”，发现了这个系统的一个注入点。一切从这里开始……
http://xynu.check.cnki.net/ 用户名为学号，密码为身份证后8位，通过信息搜集获取到了一堆账号，登录一个测试：学号：20115151013 密码：12027623

1.jpg


很幸运的是这个注入点数据库账户为DBA、支持多行执行，且可以使用xp_cmdshell/mssqlagent执行命令。

2.jpg


然而非常不幸的是虽然可以执行系统命令，但是经过一番测试，发现服务器不能连接外网，且站库已分离对外网不开放端口。那么要实际控制这台服务器就变的非常困难了，总不能每次都使用这个注入点去做事情。经过考虑，决定从其它方面着手。于是先使用两条语句添加了个sa权限账户备用：

exec master.dbo.sp_addlogin name,pass
exec master.dbo.sp_addsrvrolemember name,sysadmin


为了缩短渗透时间，就先Google一下看看有没有一些已知漏洞可以方便快速的打入CNKI内网：

3.jpg


经过筛选，找到了两个Struts2命令执行的站点：esafety.cnki.net和www.dangshi.cnki.net:8080，成功上传Webshell后以备后用。

4.jpg


从IP地址可以看到，服务器也处于CNKI的内网中。使用net view命令获取到了工作组中的所有计算机名：

5.jpg


经过比对得知计算机名是和IP对应的，比如IP为10.1.80.201，计算机名就为CNKI-1-80-201。这对下一步的渗透起了很大的作用。
esafety.cnki.net只开放了80端口，而www.dangshi.cnki.net开放了80和8080端口。因为这两个服务器也无法连接外网，所以不能使用reverse_tcp来反弹meterpreter，只能考虑使用bind_tcp的方式。

6.jpg


经过考虑，决定停掉www.dangshi.cnki.net的一个服务80/8080端口来做为bind_Tcp的端口。于是使用Webshell执行iisreset /stop命令来停掉IIS，但结果却出乎意料。IIS并未停止，反而工作于8080端口的Apache却Duang了……因为CNKI内网各服务器之间并未限制各个端口的通迅，所以在esafety.cnki.net上执行以下两条命令来获取www.dangshi.cnki.net(内网IP:10.1.93.14已抓取管理的登录密码)bind_tcp的Meterpreter(已上传PsExec和Bind_Tcp payload到esafety.cnki.net的D:\bak\目录)：

psexec -accepteula
psexec \\10.1.93.14 -u Administrator -p 抓到的密码 -c D:\bak\bind.exe -d


连接211.151.247.54（www.dangshi.cnki.net外网IP）的8080端口，成功获取到了Meterpreter。至此内网的大门已经洞开。（后面的一些截图并非是第一时间的；只是为了说明问题和原理后补上来的，所以有一些误差，请不要在意！）

7.jpg


二、内网初探：扫描弱口令、攻击弱点服务、扩大信息收集面
1、构建可快速连接的内网渗透环境
使用Meterpreter和portfwd命令可以方便地转发内网端口到本地：

portfwd add -l 4444 -p 3389 -r 127.0.0.1
portfwd add -l 3333 -p 3389 -r 10.1.201.84 (这个是esafety.cnki.net的内网IP)


8.jpg


在10.1.93.14的IIS管理器中发现服务器上还运行着其它站点，于是找一个留下Webshell。这样就不用在10.1.201.84使用psexec来运行bind_tcp payload了，且上传文件会方便很多。

9.jpg


10.jpg


2、扫描一些包含弱口令的服务
由于我使用的网络不稳定且Meterpreter扫描一些服务的弱口令较慢，所以部分扫描任务直接放到了内网服务器上去完成。

11.jpg


可以看到这个网段服务器大部分使用的是IIS，那么扫描一下MSSQL弱口令会如何呢？

12.jpg


13.jpg


下面这个截图：10.1.202.10是之前存在注入点的那个数据服务器，入内网之后轻易便拿到了管理权（数据库中有不少高校老师和学生的信息哦）。上面的Kbase企业管理器连接着同网段的几台数据服务器（密码为空），内含信息没有去查看。

14.jpg


篇幅有限，其它网段同样的扫描就不截图说明了。经过前期简单的扫描，大致获取到了以下几台主机的管理权（仅扫描了10.1.201.0/24和10.1.202.0/24）：

15.jpg


从已获得权限的几台服务器的管理密码上能解读什么信息呢？①.可以看到，Administrator的密码都为9位，非常复杂且毫无规律。可以猜测服务器密码一定有一个统一的管理或是分派到各管理员/部门管理，当然也有可能服务器上安装有管理类的软件来负责密码的统一管理工作。这里仅仅是猜想。②.CNKI内网似乎已有人扫描过了，可以看到不同段MSSQL弱口令的服务器已被添加了aa账号（经过辨明这不是管理添加的）。
三、交叉口令验证：通过已有账号信息获取其它服务器管理权
通过下图可以解析交叉口令的验证原理（仅仅一个方面）：

16.jpg


通过MSF使用已获得的账号密码信息来对整个网段进行检测：
交叉口令的来源很多，包含已有任何服务的口令。数据库口令、服务器登录口令、FTP口令、远程控制类软件口令（VNC、TeamViewer、Radmin、pcanywhere、向日葵等），其它服务类软件口令等。

17.jpg


验证账号：MI_Viewer 密码：MIOrchid#1 这组账号密码应该是某软件创建的。

18.jpg


19.jpg


20.jpg


交叉验证的工作模式：

21.jpg


四、总结过程查缺补漏
在整个渗透过程中总结是不可少的。成功目标的多少和信息收集的多少成正比。总结整个过程如下：
1、在整个过程中仅仅对10.1.201.0/24和10.1.201.0/24这两个子网做了检测，如果扩大攻击范围是不是可以获取更多服务器的权限？
2、在整个过程中仅仅针对MSSQL、Windows口令做了扫描，如果将扫描对象扩大到每个已知服务是不是可以收获更多？（已发现数个服务器安装了Serv-u、pcanywhere等软件）
3、一些专用软件了解不够，是不是要花些时间也对这些软件加以了解？（数个服务器安装了Kbase且为空口令，对这总数据库不了解就少了一条路）
4、一些备份服务器上留有某些站点的源码，是否应该花些时间来对这些代码做一次审计以便获取现在提供服务的服务器的权限？
5、通过查看某几个服务器的日志，发现有一个共同的IP登录过，是管理吗？知道了管理IP能干些什么呢？
6、内网的一些服务器，发现安全漏洞的机率是不是更高些呢？
附：net view后整理IP如下：

10.0.93.104
10.1.0.10
10.1.10.1
10.1.10.10
10.1.10.100
10.1.10.101
10.1.10.103
10.1.10.104
10.1.10.105
10.1.10.106
10.1.10.107
10.1.10.108
10.1.10.109
10.1.10.11
10.1.10.110
10.1.10.111
10.1.10.112
10.1.10.113
10.1.10.114
10.1.10.115
10.1.10.116
10.1.10.117
10.1.10.118
10.1.10.119
10.1.10.120
10.1.10.121
10.1.10.122
10.1.10.123
10.1.10.124
10.1.10.125
10.1.10.126
10.1.10.127
10.1.10.128
10.1.10.129
10.1.10.13
10.1.10.130
10.1.10.132
10.1.10.133
10.1.10.134
10.1.10.136
10.1.10.137
10.1.10.138
10.1.10.139
10.1.10.14
10.1.10.140
10.1.10.141
10.1.10.142
10.1.10.145
10.1.10.198
10.1.10.2
10.1.10.21
10.1.10.238
10.1.10.28
10.1.10.3
10.1.10.31
10.1.10.33
10.1.10.35
10.1.10.36
10.1.10.37
10.1.10.39
10.1.10.4
10.1.10.44
10.1.10.5
10.1.10.51
10.1.10.53
10.1.10.54
10.1.10.56
10.1.10.57
10.1.10.58
10.1.10.6
10.1.10.60
10.1.10.61
10.1.10.62
10.1.10.63
10.1.10.65
10.1.10.66
10.1.10.67
10.1.10.68
10.1.10.7
10.1.10.72
10.1.10.74
10.1.10.76
10.1.10.78
10.1.10.8
10.1.10.80
10.1.10.82
10.1.10.83
10.1.10.84
10.1.10.85
10.1.10.86
10.1.10.87
10.1.10.88
10.1.10.89
10.1.10.9
10.1.10.90
10.1.10.91
10.1.10.92
10.1.10.96
10.1.10.97
10.1.10.99
10.1.11.10
10.1.11.12
10.1.11.20
10.1.11.201
10.1.11.202
10.1.11.21
10.1.11.22
10.1.11.23
10.1.11.24
10.1.11.25
10.1.11.26
10.1.11.27
10.1.11.28
10.1.11.29
10.1.11.30
10.1.11.31
10.1.110.1
10.1.110.10
10.1.110.100
10.1.110.11
10.1.110.134
10.1.110.17
10.1.110.18
10.1.110.19
10.1.110.20
10.1.110.201
10.1.110.202
10.1.110.203
10.1.110.204
10.1.110.205
10.1.110.206
10.1.110.207
10.1.110.208
10.1.110.209
10.1.110.210
10.1.110.211
10.1.110.212
10.1.110.213
10.1.110.214
10.1.110.215
10.1.110.216
10.1.110.217
10.1.110.218
10.1.110.219
10.1.110.220
10.1.110.221
10.1.110.222
10.1.110.223
10.1.110.224
10.1.110.225
10.1.110.226
10.1.110.24
10.1.110.28
10.1.110.38
10.1.110.39
10.1.110.59
10.1.110.61
10.1.110.62
10.1.110.63
10.1.110.64
10.1.110.65
10.1.110.67
10.1.110.68
10.1.110.69
10.1.110.70
10.1.110.71
10.1.110.72
10.1.110.73
10.1.110.74
10.1.110.80
10.1.111.009
10.1.111.1
10.1.111.100
10.1.111.101
10.1.111.102
10.1.111.103
10.1.111.104
10.1.111.105
10.1.111.108
10.1.111.113
10.1.111.2
10.1.111.26
10.1.111.27
10.1.111.28
10.1.111.29
10.1.111.3
10.1.111.30
10.1.111.31
10.1.111.4
10.1.111.5
10.1.111.51
10.1.111.52
10.1.111.54
10.1.111.59
10.1.111.61
10.1.111.62
10.1.111.8
10.1.111.98
10.1.112.1
10.1.112.10
10.1.112.11
10.1.112.12
10.1.112.13
10.1.112.14
10.1.112.15
10.1.112.16
10.1.112.17
10.1.112.18
10.1.112.19
10.1.112.3
10.1.12.11
10.1.12.12
10.1.12.13
10.1.12.15
10.1.12.18
10.1.12.19
10.1.12.20
10.1.12.22
10.1.12.23
10.1.12.24
10.1.12.25
10.1.12.26
10.1.12.28
10.1.12.29
10.1.12.3
10.1.12.30
10.1.12.31
10.1.12.32
10.1.12.34
10.1.12.35
10.1.12.37
10.1.12.38
10.1.12.39
10.1.12.4
10.1.12.40
10.1.12.5
10.1.12.51
10.1.12.52
10.1.12.53
10.1.12.54
10.1.12.6
10.1.12.7
10.1.12.8
10.1.12.9
10.1.120.124
10.1.120.151
10.1.120.180
10.1.120.182
10.1.120.183
10.1.120.201
10.1.120.202
10.1.120.203
10.1.120.204
10.1.120.205
10.1.120.206
10.1.120.207
10.1.120.208
10.1.120.209
10.1.120.210
10.1.120.211
10.1.120.212
10.1.120.213
10.1.120.214
10.1.120.215
10.1.120.216
10.1.120.217
10.1.120.218
10.1.120.219
10.1.120.220
10.1.120.221
10.1.120.222
10.1.120.227
10.1.120.228
10.1.120.238
10.1.120.240
10.1.120.251
10.1.121.19
10.1.121.81
10.1.121.94
10.1.122.101
10.1.122.104
10.1.122.112
10.1.122.114
10.1.122.115
10.1.122.120
10.1.122.123
10.1.122.201
10.1.122.202
10.1.123.101
10.1.123.102
10.1.123.201
10.1.123.202
10.1.123.216
10.1.123.217
10.1.123.231
10.1.123.232
10.1.123.244
10.1.123.245
10.1.123.31
10.1.125.101
10.1.125.154
10.1.128.101
10.1.128.102
10.1.129.101
10.1.129.102
10.1.16.201
10.1.16.202
10.1.16.203
10.1.16.204
10.1.16.205
10.1.180.44
10.1.20.2
10.1.20.201
10.1.201.1
10.1.201.100
10.1.201.109
10.1.201.11
10.1.201.110
10.1.201.111
10.1.201.112
10.1.201.113
10.1.201.114
10.1.201.116
10.1.201.122
10.1.201.123
10.1.201.124
10.1.201.125
10.1.201.126
10.1.201.129
10.1.201.130
10.1.201.131
10.1.201.132
10.1.201.133
10.1.201.134
10.1.201.135
10.1.201.137
10.1.201.138
10.1.201.139
10.1.201.140
10.1.201.15
10.1.201.155
10.1.201.157
10.1.201.159
10.1.201.16
10.1.201.162
10.1.201.163
10.1.201.164
10.1.201.165
10.1.201.168
10.1.201.17
10.1.201.171
10.1.201.172
10.1.201.189
10.1.201.2
10.1.201.201
10.1.201.23
10.1.201.236
10.1.201.237
10.1.201.3
10.1.201.30
10.1.201.31
10.1.201.33
10.1.201.35
10.1.201.36
10.1.201.37
10.1.201.38
10.1.201.4
10.1.201.40
10.1.201.42
10.1.201.43
10.1.201.5
10.1.201.52
10.1.201.54
10.1.201.57
10.1.201.6
10.1.201.67
10.1.201.68
10.1.201.7
10.1.201.71
10.1.201.72
10.1.201.74
10.1.201.8
10.1.201.80
10.1.201.84
10.1.201.87
10.1.201.9
10.1.201.91
10.1.202.10
10.1.202.102
10.1.202.105
10.1.202.106
10.1.202.107
10.1.202.108
10.1.202.110
10.1.202.111
10.1.202.112
10.1.202.113
10.1.202.116
10.1.202.117
10.1.202.118
10.1.202.119
10.1.202.12
10.1.202.120
10.1.202.121
10.1.202.122
10.1.202.123
10.1.202.124
10.1.202.125
10.1.202.18
10.1.202.19
10.1.202.190
10.1.202.191
10.1.202.199
10.1.202.202
10.1.202.205
10.1.202.206
10.1.202.207
10.1.202.213
10.1.202.219
10.1.202.220
10.1.202.221
10.1.202.222
10.1.202.235
10.1.202.237
10.1.202.238
10.1.202.239
10.1.202.240
10.1.202.242
10.1.202.243
10.1.202.244
10.1.202.29
10.1.202.32
10.1.202.33
10.1.202.34
10.1.202.35
10.1.202.36
10.1.202.37
10.1.202.38
10.1.202.39
10.1.202.40
10.1.202.41
10.1.202.42
10.1.202.43
10.1.202.45
10.1.202.47
10.1.202.48
10.1.202.50
10.1.202.51
10.1.202.60
10.1.202.61
10.1.202.71
10.1.202.99
10.1.203.11
10.1.203.2
10.1.203.3
10.1.203.8
10.1.60.109
10.1.8.3
10.1.8.4
10.1.8.5
10.1.8.6
10.1.8.7
10.1.8.8
10.1.80.1
10.1.80.10
10.1.80.11
10.1.80.110
10.1.80.12
10.1.80.2
10.1.80.201
10.1.80.202
10.1.80.3
10.1.80.38
10.1.80.4
10.1.88.10
10.1.88.102
10.1.88.183
10.1.88.21
10.1.88.22
10.1.9.1
10.1.9.10
10.1.9.11
10.1.9.2
10.1.9.3
10.1.9.5
10.1.9.6
10.1.96.1
10.1.96.2
10.1.99.124
10.1.99.140
10.10.1.20.22
10.10.247.42

漏洞证明：

22.jpg

修复方案：

全面检查
清除后门
加强教育

版权声明：转载请注明来源 RedFree@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2015-06-11 18:38

厂商回复：

CNVD确认所述情况，已经由CNVD通过网站公开联系方式向网站管理单位通报。

最新状态：

暂无