当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-044169

漏洞标题：通策控股集团网站存在SQL注入后续

相关厂商：杭州爱铂财务管理信息服务有限公司

漏洞作者： 袋鼠妈妈

提交时间：2013-11-27 15:39

修复时间：2014-01-11 15:39

公开时间：2014-01-11 15:39

漏洞类型：账户体系控制不严

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-11-27： 细节已通知厂商并且等待厂商处理中
2013-11-27： 厂商已经确认，细节仅向厂商公开
2013-12-07： 细节向核心白帽子及相关领域专家公开
2013-12-17： 细节向普通白帽子公开
2013-12-27： 细节向实习白帽子公开
2014-01-11： 细节向公众公开

简要描述：

通策控股集团网站存在SQL注入后续,会不会是继续忽略的节奏呢......

详细说明：

WooYun-2013-42463：http://wooyun.org/bugs/wooyun-2013-042463
之前说通策控股集团网站存在SQL注入上传并能获取shell,结果被华丽丽的忽略掉了,漏洞未改,但同时也把那个存在坏链的网站关闭了,有些郁闷，有点奇怪,为撒子集团网站被拿下了都能忽略,后来通过相关信息,发现这个网站并不是什么主站,大概只是一个其员工博客而已，只不过网站名称冠以通策控股集团。那行,我们通过现有资源,看看能发现些什么有价值的：
1.翻了翻网站目录,找到两个有用的信息文件,包括：
1)数据库连接信息.
2)额外得到的一个邮箱账户.

/*数据库连接信息*/
common_lib/config/GlobalDBConfig.php
<?php
/**
 * 鍏ㄥ眬鏁版嵁搴撻厤缃?
 * @author Zhang zenglun <zhangzenglun@163.com> 2012-3-5
 * @link http://www.eetop.com
 * @copyright Copyright &copy; 2003-2012 eetop.com
 * @license
 */
class GlobalDBConfig {
	public static $dbhost = 'localhost';
	public static $dbuser = 'sbs_topchoice';
	public static $dbpw = 'IpEYuN';
	public static $dbcharset = 'utf8';
	public static $pconnect = 0;
	public static $dbname = 'sbs_topchoice';
}
?>


/*数据库信息以及一个邮箱账户信息*/
/common_lib/config/online/config.php
<?php
define ('DB_HOST', 'localhost' );
define('DB_USER','sbs_topchoice');
define('DB_PW','IpEYuN');
define('DB_CHARSET','utf8');
define('P_CONNECT',0);
define('DB_NAME','sbs_topchoice');
define('MAIL_USER','testeetop@eetop.com');
define('MAIL_PASS','1234567');
define('MAIL_FROM','testeetop@eetop.com');
define('MAIL_SITE','娴欐睙閫氱瓥鎺ц偂闆嗗洟');
define('WEBSITE_NAME','娴欐睙閫氱瓥鎺ц偂闆嗗洟');
define('WEBSITE_URL','http://www.topchoice1.com.cn/');
define('COOKIE_EXPIRED_TIME',2592000);//涓€涓湀/绉?
define ( 'SBS_AUTH_KEY', 'SBS_AUTH_KEY_secret_key' );
define ( 'WEB_KEY', '2356873822011e1942383fc4a12cc85' );


2.登录邮箱看看,尝试http://mail.eetop.com/，用testeetop@eetop.com/1234567登录OK，
里面很多验证邮件,信息量不大,进入"公用文件夹",信息不那么单一了,还有最新"通讯录"（老总的号码就是不错，除了8就是6）,

1.GIF


2.GIF


5.GIF


3.通讯录里面的邮箱地址也不少,而且网站topchoice.com.cn的注册也是关联其公司邮箱,于是连接数据库查询了几组sbs_users表中的pasword的md5，想一般人设置密码的惯性,通过topchoice.com.cn的网站密码进入到邮箱试试.测试了几十组发现没一个能破解的,NND,这公司也忒变态了.重新看了下sbs_users表,发现有个字段是salt.应该是MD5加盐,如果我们找到算法构造一个加盐MD5库，总能找到弱口令吧?

common_lib\services\memberuser\service\UsersService.php：
public function saveUser($param) {
		$time = time ();
		$user ['username'] = $param ['userName'];
		$user ['password'] = $param ['password'];
		$user ['lastloginip'] = $user ['regip'] = Yii::app ()->request->getUserHostAddress ();
		$user ['lastlogintime'] = $user ['regdate'] = $time;
		$user ['is_display'] = 1;
		$user ['salt'] = RandomUtil::getSalt ();
		$user ['password'] = md5 ( md5 ( $user ['password'] ) . $user ['salt'] );
		$detail ['sex'] = $param ['sex'];
		$detail ['nick_name'] = $param ['nickName'];
		$detail ['identity'] = $param ['identity'];
		//TODO 认证以后要改的
		$detail ['is_authentication'] = 1;
		$detail ['area'] = $param ['area'];
		$detail ['gmt_create'] = $detail ['gmt_modified'] = $time;


$user ['password'] = md5 ( md5 ( $user ['password'] ) . $user ['salt'] )


4.算法有了,写个工具按照弱口令+salt按照算法生成需要的库,这里的弱口令按照邮件的用户名及几个弱口令测试,后来加上了80年-93年的6位生日

111111
123456
12345678
1234567
123456789
000000
111111
222222
…………
999999
147258
159357
abc
qweqwe


生成了270多W的数据，和sbs_users表对比出来大概有180多条,当然不能保证用于topchoice的密码能用于邮箱,在后来的尝试登录的十来个帐号中发现大部分密码是1234567,猜测应该是初始密码,有了这么些个邮箱的账户密码，这下信息量应该不小了。

3.GIF


4.GIF


漏洞证明：

PS:真心觉得你们气氛灰常不错哇。不愧是集团啊,各种设施都是高端大气上档次啊~~~

7.gif

8.gif


敏感的就不贴了,记得周三我们伪装网管~~
还看到了wooyun的提醒邮件：

9.GIF

修复方案：

弱口令，会不会是继续忽略的节奏呢......

版权声明：转载请注明来源 袋鼠妈妈@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2013-11-27 15:52

厂商回复：

谢谢，这个问题，我们会立即找研发查看的

最新状态：

暂无

漏洞评价：

评论