当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0127479

漏洞标题：蓝海基业某分站未授权访问（泄漏大量用户信息）

相关厂商：蓝海基业信息技术有限公司

漏洞作者： 路人甲

提交时间：2015-07-20 11:34

修复时间：2015-09-07 14:14

公开时间：2015-09-07 14:14

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-20： 细节已通知厂商并且等待厂商处理中
2015-07-24： 厂商已经确认，细节仅向厂商公开
2015-08-03： 细节向核心白帽子及相关领域专家公开
2015-08-13： 细节向普通白帽子公开
2015-08-23： 细节向实习白帽子公开
2015-09-07： 细节向公众公开

简要描述：

蓝海基业-分站未授权访问-泄漏大量用户信息

详细说明：

FTP匿名访问-泄漏敏感信息-导致直接获取服务器权限

ftp://122.114.50.126
ftp://erp.ilanhai.cn/
ftp://122.114.50.126/weixinoa_ilanhai_cn/Web.config


01.jpg


000.jpg


0.jpg


1.jpg


详细用户信息

15.jpg


服务器运行多个网站..

默认网站 IUSR_WEST263-3ADE52F "VbNQP+*Ke`0TC 127.0.0.1:80: c:\inetpub\wwwroot
boss_lanhai IUSR_WEST263-3ADE52F "VbNQP+*Ke`0TC :80:boss.ilanhai.cn D:\wwwroot\boss_lanhai
weixinoa.ilanhai.cn IUSR_WEST263-3ADE52F "VbNQP+*Ke`0TC :80:weixinoa.ilanhai.cn D:\wwwroot\weixinoa_ilanhai_cn
newlanhaibao IUSR_WEST263-3ADE52F "VbNQP+*Ke`0TC :8084: D:\wwwroot\newlhanhaibao
lanhaibao IUSR_WEST263-3ADE52F "VbNQP+*Ke`0TC :80:s-140882.gotocdn.com,:80:erp.toms.net.cn,:80:erp.ilanhai.cn D:\wwwroot\lanhaibao
Property IUSR_WEST263-3ADE52F "VbNQP+*Ke`0TC :80:zscq.ilanhai.cn D:\wwwroot\property


泄漏EMAIL服务器信息

02.jpg


数据库

14.jpg


用户信息

12.jpg


数量

11.jpg


管理员登录

13.jpg


通过弱口令登录另一系统成功

22.jpg


时间问题、到此结束.

漏洞证明：

见上方详细说明

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2015-07-24 14:13

厂商回复：

CNVD确认所述漏洞情况，暂未建立与网站管理单位的直接处置渠道，待认领。

最新状态：

暂无