漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-076776
漏洞标题：人民日报电子阅报栏播控平台中间件配置不当（可控制全国电子阅报栏LED及播放内容）
相关厂商：人民日报
漏洞作者： fuckadmin
提交时间：2014-09-20 23:25
修复时间：2014-11-04 23:26
公开时间：2014-11-04 23:26
漏洞类型：重要敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-20： 细节已通知厂商并且等待厂商处理中
2014-09-25： 厂商已经确认，细节仅向厂商公开
2014-10-05： 细节向核心白帽子及相关领域专家公开
2014-10-15： 细节向普通白帽子公开
2014-10-25： 细节向实习白帽子公开
2014-11-04： 细节向公众公开
简要描述：
偶然机会碰到的，对该平台了解后，发现可控制全国电子阅报栏，包括顶部LED滚动屏幕，以及大屏幕播放内容，影响极大。来几张设备图：http://wooyun.org/bugs/wooyun-2010-019904，希望能引起来重视。
详细说明：
#1中间件存在弱口令成为突破口
主机1：182.18.5.25：8080（备）
主机2：182.18.5.17：8080（主）
#2部署shell
主机1（麻烦管理员大哥将test.jsp小马进行删除）：
主机2（麻烦管理员大哥将test1.jsp小马进行删除）：
漏洞证明：
#3扩大战果（全国各地管理账号及密码）
经解密部分MD5值，发现存在大量弱口令如：123、123456、test等。
#4功能演示
本次演示的账号为北京地方：
该平台分为四小系统：
1.用户管理系统（由于只是对角色、用户、终端分组等管理，此处不作说明）
2.运维监控系统
<终端管理>该系统可对用户内所管理的终端进行操作，比如演示的北京地方，即控制北京地区内所有终端设备。
<设备监控>即对终端设备进行状态监控。
3.内容播控系统
<广告发布>即对广告标题、播放内容进行发布。
<LED发布>即对阅报栏项部LED播放内容进行发布。
4.内容审计系统
对发布的广告、栏目、LED进行内容审计。
#5总结：
一个微不足道的弱口令，导致可控制全国各阅报栏终端机，听起来太难以置信，但确确实实发生了。检测过程严格遵守乌云白帽守则，未对系统进行任何数据下载、拷贝、破坏，可查看peopleweb.log.(9月19日-9月20日)日志。
修复方案：
安全无小事。
版权声明：转载请注明来源 fuckadmin@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2014-09-25 12:36
厂商回复：
最新状态：
暂无