当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-057088

漏洞标题：疑似教育网DNS服务器被大范围污染（变成某XX门使用手册）

相关厂商：教育网

漏洞作者： Bird

提交时间：2014-04-15 11:30

修复时间：2014-05-30 11:30

公开时间：2014-05-30 11:30

漏洞类型：系统/服务运维配置不当

危害等级：高

自评Rank：12

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-04-15： 细节已通知厂商并且等待厂商处理中
2014-04-20： 厂商已经确认，细节仅向厂商公开
2014-04-30： 细节向核心白帽子及相关领域专家公开
2014-05-10： 细节向普通白帽子公开
2014-05-20： 细节向实习白帽子公开
2014-05-30： 细节向公众公开

简要描述：

教育网DNS服务器对苹果的解析出现问题，所有JS调用均为自由门使用手册。

详细说明：

偶然间发现所有调用苹果的js都不正常（在教育网环境下测试）
经F12发现，所有js全部是自由门的说明网页。
洞主首先在兰州大学校园网内发现此问题，后在山东大学亦发现此问题。
疑似教育网根DNS服务器被污染或劫持。
洞主暂时不懂DNS运维原理，因此只能说是疑似，请各位见谅。

漏洞证明：

兰州大学测试

.jpg


山东大学测试

215622591-2a4161b8a88838fe.jpg


兰大是教育网兰州节点，山大是济南节点。
应该是上游DNS的问题吧。。。
毕竟是教育网，赶紧修复吧。。。
被劫持不是好玩的- -

修复方案：

你们懂。。。

版权声明：转载请注明来源 Bird@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2014-04-20 09:03

厂商回复：

CNVD已经将所述情况转发给CERNET和上海交通大学网络信息中心，综合近期的讨论以及CERNET和上海交通大学的反馈信息，目前最有可能的还是CDN服务器问题，但后续原因不明，已经由教育网应急组织工作人员向CDN服务商发信质询。后续情况待反馈 。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-04-15 11:31 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    确定不是你自己挂了这个门访问的？

  2. 2014-04-15 11:45 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

    你们啊 老是XX XX的 又不说XX是什么

  3. 2014-04-15 14:10 | MeirLin ( 实习白帽子 | Rank:96 漏洞数:30 | 号借人)

    怂个屌? 不就是自由门么?

  4. 2014-04-15 14:49 | CCERT教育网应急响应组(乌云厂商)

    如果是根被污染，影响的就不仅仅是兰大和山东大学两个学校了。目前在山大和兰大验证暂未发现该问题。

  5. 2014-04-15 15:52 | Jumbo ( 普通白帽子 | Rank:111 漏洞数:29 | 猫 - http://www.chinabaiker.com)

    惊现CCERT教育网应急响应组

  6. 2014-04-15 16:34 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @CCERT教育网应急响应组 不清楚什么情况。http://images.apple.com/global/scripts/这个目录下所有js都不能正常。在兰大榆中校区和山大兴隆山校区发现的。

  7. 2014-04-15 16:34 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @疯狗 - - 我没那么无聊。。。有GoAgent呢- -

  8. 2014-04-15 16:35 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @MeirLin 免得被河蟹了= =

  9. 2014-04-15 16:37 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @CCERT教育网应急响应组 我本人是兰大的，已经提交网络中心。山大的是拜托我女朋友帮我测试了一下。起因是我有一个用了苹果的js的页面不能正常显示。F12显示几个JS报错，进去一看就是这个。兰大用的DNS 202.201.0.164,验证时特意清除了缓存。

  10. 2014-04-15 16:38 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @CCERT教育网应急响应组 将DNS切换到114和谷歌的就能正常获取，所以推测是DNS的问题。由于不是很懂，请见谅。

  11. 2014-04-15 16:46 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @CCERT教育网应急响应组 http://219.246.65.97/1.jpg 算是证据吧。wget下来的。这个ip仅在教育网内可以访问。。。

  12. 2014-04-15 16:49 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @CCERT教育网应急响应组 其他的大学我也没有测试啊- - 尽力而为，提交给你们了。这个东西绝对是存在的，我也不会无聊的虚报漏洞。我虽然是信息安全专业的，但毕竟仅仅是大一，只是一直比较关注这些东西。麻烦仔细查一下，毕竟教育网很广泛。说了这么多，打扰各位了。

  13. 2014-04-15 16:53 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @CCERT教育网应急响应组 抱歉，说错了，兰大DNS是202.201.0.132和133- -

  14. 2014-04-15 18:26 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @Bird 感谢又提供了这么多证据帮助相关部门查询问题根本原因

  15. 2014-04-15 18:46 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @疯狗 谢谢了。其实是我看到了“暂未发现”就很不爽，好像我在骗RANK一样- - 我刚刚测试了教育网官方提供的DNS 101.7.8.9，还是这样，换成114DNS或者四个8就一切正常，这说明了什么- - @CCERT教育网应急响应组

  16. 2014-04-15 18:52 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @Bird 嗯，这个问题可能没涉及到全国性，但地域性是很有可能的，也进行了证明 @CCERT教育网应急响应组 @cncert国家互联网应急中心 可以帮忙多费下心 ：）

  17. 2014-04-15 18:54 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @疯狗 谢谢了。我在请我的同学们帮我测试下他们的情况。我这个倔脾气，见笑了。

  18. 2014-04-15 19:06 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @Bird 很认真

  19. 2014-04-16 10:39 | CCERT教育网应急响应组(乌云厂商)

    非常感谢bird同学，我们正在进一步检测这个问题，目前初步结论是与dns无关。不过可以确认问题确实是不定期出现在某些地方，现在有两个怀疑点，一是apple的cache服务器的问题，另一个怀疑是机器上插件的问题。待有进一步结果后再反馈。再次对bird同学的认证表示感谢！

  20. 2014-04-16 10:48 | CCERT教育网应急响应组(乌云厂商)

    @Bird 因为使用不同的DNS返回的apple cache服务器地址不同，如果只是某几台针对教育网的cache服务器被篡改，就会出现这种情况。不过我们使用了一些教育网的其他DNS服务器返回相同的cache地址却并未出现这个情况，所以问题还需进一步检查。

  21. 2014-04-16 10:50 | CCERT教育网应急响应组(乌云厂商)

    @Bird 抱歉，说暂未发现是针对当时的情况，所以说的是暂未，并没有说你骗RANK的意思。我们鼓励一切对安全有兴趣的同学帮助我们发现问题。

  22. 2014-04-16 12:29 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @CCERT教育网应急响应组 哈，是我不好，过于激动了些。我忘记了教育网的Cache。。。抱歉抱歉。。。这么说来确实有这个可能性。

  23. 2014-04-16 12:33 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @CCERT教育网应急响应组 我昨天也拜托同学测试了N个985的校园网，有的可以有的不行。这个我就比较尴尬了。。。暂时还不懂这是怎么回事。但是换教育网外DNS都可以了，我也只能猜测是DNS的问题。CDN的问题么。。。实在是搞不懂。昨天还在想是不是某个出口网关的问题。哈～ 给您们添麻烦了。

  24. 2014-04-20 15:37 | 无敌L.t.H ( 路人 | Rank:21 漏洞数:4 | ‮……肉肉捉活，亭长放解)

    images.apple.com的CNAME是a199.cn.w.tl88.net，应该没有解析错误。

  25. 2014-04-21 14:58 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @无敌L.t.H 不清楚了。。。挺尴尬

  26. 2014-04-21 14:59 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @Bird 不过大概是CDN的cache惹的祸吧。

  27. 2014-04-21 17:32 | 无敌L.t.H ( 路人 | Rank:21 漏洞数:4 | ‮……肉肉捉活，亭长放解)

    @Bird 那估计帝联又被搞了……

  28. 2014-04-21 18:03 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @无敌L.t.H 保护好水表- -

  29. 2014-05-31 14:10 | liyang ( 路人 | Rank:25 漏洞数:11 | 低调 沉默 守望)

    http://www.v2ex.com/t/115142 这也有案例

  30. 2014-05-31 17:46 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    @liyang 那就能确定是CACHE的问题了大概