漏洞概要
关注数(24)
关注此漏洞
漏洞标题：中华人民共和国武汉海事局网站某服务弱口令致使整个内部网络处于高风险状态
提交时间：2012-06-01 08:42
修复时间：2012-06-06 08:43
公开时间：2012-06-06 08:43
漏洞类型：服务弱口令
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
Tags标签：
无
漏洞详情
披露状态：
2012-06-01： 细节已通知厂商并且等待厂商处理中
2012-06-06： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
中华人民共和国武汉海事局网站某服务弱口令致使整个内部网络处于高风险状态
详细说明：
中华人民共和国武汉海事局网站 ftp弱口令 直接ftp上马可以得到webshell
网站服务器无安全设置，可轻易获得系统权限
服务器应存放于海事局内部机房内
因此通过网站服务器为跳板 可很方便直接进一步渗透 获取内部其他相关信息
海事局网 拥有多个外部ip地址 其中
219.140.192.201 对外提供 ftp 等服务
219.140.192.207 对外提供 网站等服务 发现可以连接 服务器的vnc服务
提交问题时一时兴起，提了权 本来想上去看看的。。。又犹豫了，主要是怕啊。。。
漏洞证明：
还有很多很多。。。 例如 远程的图片 。。。
实在不想一点点的截下去了。。请谅解。。。
请警察叔叔理解 我是好人
修复方案：
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-06-06 08:43
厂商回复：
最新状态：
2012-06-07：已经转由CNCERT湖北分中心处置。
漏洞评价：
评论
-
2012-06-01 08:59 |
自由与精神 ( 路人 | Rank:30 漏洞数:5 | 缺乏精神力量，但我向往自由)
我在想需不需要 我进到内网去证明 问题的 严重性 多混点分什么的？
-
2012-06-01 09:19 |
zidane ( 路人 | Rank:13 漏洞数:2 | 噢 乖，你们应该明白 这样下去对我们谁都不...)
-
2012-06-01 09:49 |
Valo洛洛 ( 普通白帽子 | Rank:458 漏洞数:52 | 。)
-
2012-06-01 10:14 |
老雷 ( 路人 | Rank:13 漏洞数:2 | 杂牌程序员。)
-
2012-06-01 11:40 |
自由与精神 ( 路人 | Rank:30 漏洞数:5 | 缺乏精神力量，但我向往自由)
我主动上报，没有做任何对不起国家，对不起党的事情，没有对任何组织和个人造成任何经济上的损失，如果真要说对谁造成了伤害，那只能是维护这个网络的管理员们，可是我的贡献大着呢 1.让他们提高了安全意识，防止了可能发生的安全事故 2.让那些安全公司又有钱可以赚了.（打个广告，接单中... 可以提供正规公司背景） 3.让某些人又可以正当拿回扣了 如果真要订我的罪的话，最后是非法入侵，这个罪不大，因为没有损失嘛。。。
-
2012-06-01 11:59 |
ubuntu ( 普通白帽子 | Rank:148 漏洞数:12 | 一切皆有可能……)
-
2012-06-06 09:02 |
蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)
-
2012-06-06 09:06 |
空 ( 路人 | Rank:1 漏洞数:2 )
注意后果，有关部门可不管你是做安全检测还是搞入侵，以前很多活生生的例子了。。
-
2012-06-06 09:08 |
自由与精神 ( 路人 | Rank:30 漏洞数:5 | 缺乏精神力量，但我向往自由)
-
2012-06-06 09:30 |
possible ( 普通白帽子 | Rank:373 漏洞数:32 | everything is possible!)
-
2012-06-06 09:56 |
自由与精神 ( 路人 | Rank:30 漏洞数:5 | 缺乏精神力量，但我向往自由)
-
2012-06-06 09:58 |
possible ( 普通白帽子 | Rank:373 漏洞数:32 | everything is possible!)
@自由与精神 我说的是厂商没有来得及处理吧，时间到了 自动就忽略了 呵呵 看到洞主还在，说明没被跨省，恭喜恭喜
-
2012-06-06 10:03 |
自由与精神 ( 路人 | Rank:30 漏洞数:5 | 缺乏精神力量，但我向往自由)
@possible 哈哈，这个洞我不担心被跨啊。。我担心另外的。。 最近让我有点怕怕。。 同时想说：看你像是职业搞政企的都没有被跨省，我为什么要被跨？ 哈哈
-
2012-06-06 10:22 |
possible ( 普通白帽子 | Rank:373 漏洞数:32 | everything is possible!)
@自由与精神 不是吧 我可没有提权呀（我看到的都是jsp 一般不需要提权）我胆小的不要吓我，主要是前面有人吃过螃蟹了 我不是第一个怕什么呀
-
2012-06-06 10:39 |
ufohacker ( 路人 | Rank:3 漏洞数:1 | 提高的是能力不是技术！)
坑爹的天朝，他的内部资料如果被公开，他就知道事情的严重性，前期是得有中国军队的有价值资料哈哈，，，，，有价值的资料可不好高，，，这要是匿名者撸过，基本没救，国内已经泄露了无数次信息，老外一定很失望、。'<>
-
2012-06-06 11:05 |
自由与精神 ( 路人 | Rank:30 漏洞数:5 | 缺乏精神力量，但我向往自由)
@ufohacker 这个漏洞 对于有经验的hacker来说 很容易就可以拿到内部大部份机的权限，如果再加上“未知的蠕虫” 你们懂的。。就算没有“未知的蠕虫” 我相信 内网安全也基本是０。。。我不敢进一步，是为了自身的安全，希望有关部门重视。
-
-
2012-06-07 09:15 |
自由与精神 ( 路人 | Rank:30 漏洞数:5 | 缺乏精神力量，但我向往自由)
@cncert国家互联网应急中心 怎么还不处理啊。。。坐等结果呢
-
2012-06-07 12:56 |
Valo洛洛 ( 普通白帽子 | Rank:458 漏洞数:52 | 。)
