当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-05795

漏洞标题：一个好牛的垃圾邮件服务提供商

相关厂商：垃圾邮件服务提供商

漏洞作者： 路人甲

提交时间：2012-04-05 16:00

修复时间：2012-04-05 16:00

公开时间：2012-04-05 16:00

漏洞类型：钓鱼欺诈信息

危害等级：低

自评Rank：5

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-04-05： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-04-05： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

你愿意每天在邮箱中都收到各种不请自来，甚至少儿不宜的垃圾邮件么？
网民们，忍够了！
因为平均每周要用10多分钟处理垃圾邮件，我们失去了宝贵的生命时间；
因为平均每周要看10多封垃圾邮件，我们的视力要加深0.01度；
因为我们泄露的信息成为了垃圾邮件的源头，垃圾邮件的源头又一不小心变成了APT源头，因此我们每天都要在惶恐中度过......
强烈建议CNCERT/CC以及各大邮件服务商封杀以下这个好牛的垃圾邮件服务提供商，还邮件一片清净！！
（此问题建议转交CNCERT/CC进行处理；同时也顺带曝光垃圾邮件服务提供商的一些不光彩手段）

详细说明：

事情起因是工作邮箱在近一个月来不停收到垃圾邮件，而且退订的地址均很有规律，
这种不胜其扰终于把我给惹怒了——你们要靠此养活家人，难道我就不用工作啊！
于是乎进行了一轮简单的追踪，并且在今天有了突破。


首先直接讲结论：
1、该垃圾邮件服务提供商牛就牛在其持有IP众多，分布在国外的VPS中，
并且适时地利用了各种泄露数据库的EMAIL进行垃圾邮件发送。
但IP段比较集中，约在216.6.238.*，173.234.170.*，173.208.221.*，173.234.140.*
2、该垃圾邮件服务提供商的系统中存在SQL注入漏洞，可导致众多有效邮件地址泄露，引发更广泛的垃圾病毒邮件传播问题。
下面分析：
1、邮件头
邮件头出现了不少由国外VPS代发的身影：

Received: from zestservers.com (HELO g20.wangmengcms.com) ([216.6.238.120])
Received: from reverse.rethinkvps.com (HELO m6.shenzhenle.com) ([173.234.170.241])


目前收到的邮件发送源IP：

216.6.238.29
216.6.238.102
216.6.238.106
216.6.238.110
216.6.238.114
216.6.238.120
173.234.170.241
173.234.170.245
173.234.170.251
173.208.221.88
173.208.221.84
173.208.221.80


2、邮件URL
邮件中出现了几个较为集中的域名。从这些域名反推到IP，也可和邮件头部分对应。

i.51wuxie.com         173.234.170.100
six2.ilele.in         173.234.170.253
seven.51wuxie.com     173.234.140.106
goods.ilele.in        173.234.140.106
v.aifree.in           108.62.19.210
item.zhaobiao88.com   216.6.238.100
没有链接              173.208.221.66


其中，将http://173.234.170.100 改为http://173.234.170.101 、http://173.234.170.102 可见到相同的nginx/1.1.4，可见其持有IP之多。
3、邮件中的跳转URL存在SQL注入漏洞
从该垃圾邮件服务提供商发送的垃圾邮件，其内含的链接均为跳转url。而这个url存在注入漏洞：

http://i.51wuxie.com/cck.php?gid=281 （下面渗透测试基于此url）
http://goods.ilele.in/item.php?gid=312


经渗透测试，里面含有：
（1）所有的推广信息；
（2）目前正在发送垃圾邮件的服务器监控（貌似不完整）；
（3）所有深受垃圾邮件困扰的受害者email（还分库分表）；
（4）竟然还有一个名为csdn的数据库，来源和用途各位你懂的；而且还清洗出一个qqtest数据库
而更让人担心的是，这个数据库是root权限的。
可以想象如果有黑客盯上这个数据库，里面的有效email又再遭泄露，引发垃圾、违法甚至是APT EMAIL的发送循环，所有受害者掉到无底洞中无法停止......

漏洞证明：

不得不说，sqlmap是个好东西......
1、该垃圾邮件服务商的数据库里面，CSDN里面有啥东西？

Database: csdn
Table: m1（还有m2到m11）
[6 columns]
+--------+--------------+
| Column | Type         |
+--------+--------------+
| incore | tinyint(2)   |
| mail   | varchar(32)  |
| mid    | mediumint(9) |
| reads  | smallint(6)  |
| sends  | smallint(6)  |
| wish   | tinyint(2)   |
+--------+--------------+


2、某个分表拥有的email数目，触目惊心啊！

SELECT count(*) FROM tk_seq.m29:    '599981'

修复方案：

1、CNCERT/CC根据上述信息继续追查下去吧，说不定又能打掉一个特大垃圾邮件发送团伙了！
2、这些垃圾邮件竟然有知名品牌网店的参与，我想问问，有良心么？有良心么？有良心么？

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞评价：

评论

  1. 2012-04-05 16:07 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    咦，怎么公开了？

  2. 2012-04-05 16:13 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @horseluke 不公开那找哪个运营商?再说，哪个厂商敢确认？

  3. 2012-04-05 16:15 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @horseluke 像一篇优秀的文档，作者没署名啊

  4. 2012-04-05 16:17 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    @zeracker 问题是，有SQL漏洞呐...个人本意是希望@cncert国家互联网应急中心 打掉后再公开的吧？现在一来一堆受害者的email又会黑市转手给他人发垃圾邮件了，555...

  5. 2012-04-05 16:18 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    @xsser 我写的，怕报复，你懂的。

  6. 2012-04-05 16:28 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @horseluke 这个舆论监督吧......

  7. 2012-04-05 16:39 | Xunix ( 路人 | Rank:25 漏洞数:5 | 闲的蛋疼，跑来扯淡。有谁家还招人不？求包...)

    一切，一气呵成，利索，赞一个。

  8. 2012-04-05 17:19 | X-Secure ( 路人 | Rank:6 漏洞数:2 | 扭啊扭啊扭~~~)

    @horseluke 最后那连着的三个“有良心么”，我喜欢！

  9. 2012-04-05 20:22 | kookxiang ( 路人 | Rank:28 漏洞数:6 | 苦逼PHP程序猿…)

    @X-Secure +1，竟然公开了，有良心么…

  10. 2012-04-05 20:31 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @horseluke 路人甲了，没想到还在留言里面暴露了

  11. 2012-04-05 21:01 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    @zeracker 原因是发生“非预期提前公开”异常，本人因为心急没有处理好这个异常导致......我要索取精神损失费......

  12. 2012-04-05 21:15 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @horseluke 向CNCNERT申请补偿吧。

  13. 2012-04-05 21:20 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    @zeracker 又不是CNCERT公开的......算了......

  14. 2012-04-06 11:28 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    公开了，会有人去打野鸡的吧@@

  15. 2012-04-06 11:43 | goderci ( 普通白帽子 | Rank:542 漏洞数:47 | http://www.yunday.org)

    这个必须顶啊....

  16. 2012-04-06 12:14 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    @一刀终情 啥叫野鸡？是控制这么多IP做肉鸡么？貌似是有这种可能的...

  17. 2012-04-06 15:57 | Enjoy_Hacking ( 实习白帽子 | Rank:84 漏洞数:8 | 时间无言，如此这般。)

    注册账号都是用小号email的表示毫无压力

  18. 2012-04-06 18:13 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    @Enjoy_Hacking 把小号也用大了的人，表示略有压力~~！

  19. 2012-04-09 16:32 | cncert国家互联网应急中心(乌云厂商)

    @horseluke @zeracker 已经收到信息，里面所提及的垃圾邮件样本是否可以提供一个参考？

  20. 2012-04-09 18:09 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    @cncert国家互联网应急中心 邮箱是这个vreport@cert.org.cn ？我打包给你都成