当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-010352

漏洞标题：青岛大宗商品交易中心被蠕虫入侵

相关厂商：青岛大宗商品交易中心

漏洞作者： 小葵

提交时间：2012-07-30 11:14

修复时间：2012-09-13 11:15

公开时间：2012-09-13 11:15

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-07-30： 细节已通知厂商并且等待厂商处理中
2012-08-02： 厂商已经确认，细节仅向厂商公开
2012-08-12： 细节向核心白帽子及相关领域专家公开
2012-08-22： 细节向普通白帽子公开
2012-09-01： 细节向实习白帽子公开
2012-09-13： 细节向公众公开

简要描述：

商品交易中心是神马？能值几个rank？能值几个乌云B

详细说明：

青岛大宗商品交易中心交易服务器
http://jy.qddz.cc/
JBOSS空口令访问漏洞
已经被JBOSS蠕虫感染

漏洞证明：

http://jy.qddz.cc/zecmd/zecmd.jsp
http://jy.qddz.cc/zecmd/hello.jsp
重要数据库配置文件，连接测试成功，N多重要数据。
如果泄露危害极大。

<datasources>
	<local-tx-datasource>
		<jndi-name>QDDZORACLE</jndi-name>
		<connection-url>jdbc:oracle:thin:@172.16.16.15:1521:qddz</connection-url>
		<driver-class>oracle.jdbc.driver.OracleDriver</driver-class>
		<user-name>qddz</user-name>
		<password>qceyu_2011</password>
		<connection-property name="char.encoding">GBK</connection-property>
		<transaction-isolation>TRANSACTION_READ_COMMITTED</transaction-isolation>
		<min-pool-size>50</min-pool-size>
		<max-pool-size>500</max-pool-size>
		<blocking-timeout-millis>5000</blocking-timeout-millis>
		<idle-timeout-minutes>15</idle-timeout-minutes>
		<exception-sorter-class-name>org.jboss.resource.adapter.jdbc.vendor.OracleEx ceptionSorter</exception-sorter-class-name>
		<use-java-context>false</use-java-context>
	</local-tx-datasource〉

修复方案：

这个您更懂~！

版权声明：转载请注明来源 小葵@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2012-08-02 09:38

厂商回复：

CNVD确认漏洞情况，jboss蠕虫的流行已经有较长一段时间。
网站属于商业公司，暂无处置渠道，由CNVD尝试联系对方处置。
按完全影响机密性，部分影响可用性、完整性进行评分，rank=8.97*1.0*1.2=10.764

最新状态：

暂无

漏洞评价：

评论

  1. 2012-08-02 12:27 | Jesus ( 实习白帽子 | Rank:60 漏洞数:18 | 天地不仁,以万物为刍狗！)

    兄弟，不该碰的东西就别碰

  2. 2012-08-03 10:32 | 坏虾 ( 路人 | Rank:28 漏洞数:8 | From Internet,For Internet……BY：坏虾)

    @ Jesus 等着外国人碰是么？

  3. 2012-08-03 13:21 | Jesus ( 实习白帽子 | Rank:60 漏洞数:18 | 天地不仁,以万物为刍狗！)

    关你毛事！不跟马列主义者多扯B