当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-012565

漏洞标题：TOM 音乐频道/短信网关/WAP等 百台服务器Root权限

相关厂商：TOM在线

漏洞作者： 高中生

提交时间：2012-09-22 13:02

修复时间：2012-09-27 13:03

公开时间：2012-09-27 13:03

漏洞类型：重要敏感信息泄露

危害等级：高

自评Rank：10

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-09-22： 细节已通知厂商并且等待厂商处理中
2012-09-27： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

由于TOM某FTP服务器未设置密码,获取内部维稳文件XSL,DOC若干,包含各个频道服务器"机房 项目 设备用途 应用 IP1 IP2 主机名 操作系统 序列号 型号 配置(内存/硬盘) 位置 维护IP 系统root密码".

详细说明：

由FTP 202.108.12.147 未设置密码,上面包含TOM维稳项目工作敏感信息,导致各项目服务器root权限泄露,包含 apache mysql jk tomcat rsync ftp java cacti 各类应用,运行着SSO,信息服务,IVR 等各类项目.

漏洞证明：

以下是冰山一角:




最后我保证没有拖库,高中生表示这个对我没有利用价值!
最后赞一下 你们服务器资源真的很丰富.

修复方案：

关闭FTP 202.108.12.147 , 更改全部上线/测试机器root账号.

版权声明：转载请注明来源 高中生@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2012-09-27 13:03

厂商回复：

最新状态：

2012-09-29：谢谢

漏洞评价：

评论

  1. 2012-09-22 13:30 | 风萧萧 认证白帽子 ( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)

    这个可以评为周末最火爆的漏洞么？

  2. 2012-09-22 13:34 | 高中生 ( 路人 | Rank:0 漏洞数:1 | PHPer,HTML CSS JavaScript MySQL LINUX)

    难得周末双休,所以出来散步

  3. 2012-09-22 13:51 | NiceWorm ( 普通白帽子 | Rank:179 漏洞数:38 )

    ...学习了....

  4. 2012-09-22 14:08 | Docee ( 路人 | Rank:10 漏洞数:3 | 屌丝)

    这漏洞很大吗？？{------------------) <-这么大?

  5. 2012-09-22 14:16 | upload ( 普通白帽子 | Rank:251 漏洞数:43 | 此处略--！)

    @NiceWorm 看得见？

  6. 2012-09-22 16:05 | Errorera ( 普通白帽子 | Rank:112 漏洞数:21 | 我们应该在犯错误的情况下学习！)

    你说百台服务器 我估计有3分之2是下线服务器

  7. 2012-09-22 16:21 | 高中生 ( 路人 | Rank:0 漏洞数:1 | PHPer,HTML CSS JavaScript MySQL LINUX)

    @Errorera tom音乐互联 ,glu.cn 这两个影响最大. 目测 音乐频道已经下线了,不过上面还是有 用户数据.

  8. 2012-09-22 17:37 | El4pse ( 路人 | Rank:29 漏洞数:7 | 世界上从来没有不可能这几个字，可不可能完...)

    @高中生 都是web的吗。。

  9. 2012-09-22 18:09 | 高中生 ( 路人 | Rank:0 漏洞数:1 | PHPer,HTML CSS JavaScript MySQL LINUX)

    @El4pse web应用.还有部分短信 SP业务网关

  10. 2012-09-22 22:12 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    帅呆鸟

  11. 2012-09-22 23:01 | circus ( 实习白帽子 | Rank:54 漏洞数:4 | 你会为一件事去说一句话,也会为一句话去干...)

    好吧够好玩~

  12. 2012-09-24 10:50 | Master ( 路人 | Rank:29 漏洞数:10 )

    强大

  13. 2012-09-27 15:34 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    忽略 够屌！

  14. 2012-09-27 15:42 | 风萧萧 认证白帽子 ( 核心白帽子 | Rank:1020 漏洞数:76 | 人这一辈子总要动真格的爱上什么人)

    @xsser 失去联系了，还没修复哎

  15. 2012-09-27 16:05 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    危害等级：无影响厂商忽略忽略时间：2012-09-22

  16. 2012-09-27 19:21 | 高中生 ( 路人 | Rank:0 漏洞数:1 | PHPer,HTML CSS JavaScript MySQL LINUX)

    好吧.服了