当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-088773

漏洞标题：同程旅游某服务配置不当getshell入内网并泄露内网结构

相关厂商：苏州同程旅游网络科技有限公司

漏洞作者： 杀器王子

提交时间：2014-12-26 14:36

修复时间：2015-02-03 13:53

公开时间：2015-02-03 13:53

漏洞类型：系统/服务运维配置不当

危害等级：高

自评Rank：20

漏洞状态：厂商已经修复

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-26： 细节已通知厂商并且等待厂商处理中
2014-12-26： 厂商已经确认，细节仅向厂商公开
2015-01-05： 细节向核心白帽子及相关领域专家公开
2015-01-15： 细节向普通白帽子公开
2015-01-25： 细节向实习白帽子公开
2015-02-03： 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

休息好几天了，活动活动

详细说明：

http://61.155.159.159/cacti/
cacti系统
61.155.159.159 ftp空密码访问

ftp> ls
229 Entering Extended Passive Mode (|||12888|)
150 Opening ASCII mode data connection for file list
-rw-r--r--   1 root     root       653445 Jun 26  2014 6.7-nconf-tianyan-memcached.20140626.tgz
drwxr-xr-x   2 root     root         4096 Jun 17  2014 AUTO
drwxr-x---   5 mysql    yunwei       4096 Jun 27  2014 DBI-1.609
-rw-r--r--   1 root     root       510309 Feb 25  2014 DBI-1.609.tar.gz
drwxr-xr-x   3 root     root         4096 Jun 17  2014 FTP
drwxr-xr-x   3 ftp      ftp          4096 Dec 26 02:01 ftp
-rw-r--r--   1 root     root            0 Dec 25 22:59 move_log.log
-rw-r--r--   1 root     root          441 Jan 22  2013 my.cnf
-rw-r--r--   1 root     root     23595610 Jun 17  2014 mysql-5.5.3-m3.tar.gz
drwxr-xr-x   5 1000     1000         4096 Jun 27  2014 mysqlsla-2.03
-rw-r--r--   1 root     root        33674 Nov 11  2008 mysqlsla-2.03.tar.gz
226 Transfer complete
ftp> ls ftp
229 Entering Extended Passive Mode (|||50775|)
150 Opening ASCII mode data connection for file list
-rw-r--r--   1 ftp      ftp        137364 Jan 16  2014 DBD-mysql-4.026.tar.gz
-rw-r--r--   1 ftp      ftp       1643615 Dec 11  2013 cacti-20131211160701.sql.gz
drwxr-xr-x   6 1000     users        4096 Jun 18  2014 cacti-spine-0.8.7g
-rw-r--r--   1 ftp      ftp        592801 Jul  9  2010 cacti-spine-0.8.7g.tar.gz
-rw-r--r--   1 ftp      ftp       7200529 Aug 30  2013 httpd-2.2.22.tar.gz
-rw-r--r--   1 ftp      ftp       4716070 Sep  5  2013 libiconv-1.13.1.tar.gz
-rw-r--r--   1 ftp      ftp       1335178 Sep  5  2013 libmcrypt-2.5.8.tar.gz
-rw-r--r--   1 ftp      ftp        471915 Sep  5  2013 mcrypt-2.6.8.tar.gz
-rw-r--r--   1 ftp      ftp        931437 Sep  5  2013 mhash-0.9.9.9.tar.gz
-rw-r--r--   1 ftp      ftp      23595610 Sep  4  2013 mysql-5.5.3-m3.tar.gz
-rw-r--r--   1 ftp      ftp       5955981 Jul 19  2012 net-snmp-5.6.2.tar.gz
-rw-r--r--   1 ftp      ftp        201339 Sep  5  2013 php-5.2.17-fpm-0.5.14.diff.gz
-rw-r--r--   1 ftp      ftp      11801597 Sep  5  2013 php-5.2.17.tar.gz
-rw-r--r--   1 ftp      ftp       1345477 Jul  5  2010 rrdtool-1.4.4.tar.gz
226 Transfer complete
ftp>


下载cacti-20131211160701.sql.gz文件

Snip20141226_1.png


解出admin密码 cacti@17u
登陆后使用cacti的命令执行getshell

Snip20141226_2.png


cacti系统中监控了内网的大部分运维重要系统。

Snip20141226_3.png

漏洞证明：

有了cacti nagios 和zabbix也是内网监控必不可少的部分
本机mysql中存在nagios的数据库，同样有内网的结构。
查看本机配置
/usr/local/nagios/etc/nrpe.cfg
定位nagios位置
allowed_hosts=127.0.0.1,61.155.159.159,172.16.6.7,61.155.159.211,192.168.2.211
127.0.0.1,61.155.159.159,172.16.6.7,为本机
61.155.159.211,192.168.2.211为nagios机器
访问之

Snip20141226_4.png


恩 棒棒的
随便打开一个nagios 需要401认证
根据刚才的cacti密码 成功猜到nagios的密码
nagios/nagios@17u
并且所有ngios通杀

Snip20141226_6.png


那么 xxxx@17u在内网可以通杀多少呢 应该不少

修复方案：

关闭未授权访问 健壮内网口令

版权声明：转载请注明来源 杀器王子@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-12-26 14:44

厂商回复：

感谢关注同程旅游，已在火速处理。

最新状态：

2014-12-27：唉，最近被刷了好多洞，我都没有测到，心里挺难受的。这一个月天天主动加班，老婆晚上问我，你不会出轨了吧 ( ・ω・)✄╰ひ╯下午我们做了应急响应，在修复了白帽子报告的问题后。顺势把这次看作成一次演习，讨论了下哪些地方缺监控，哪些地方要去关注异常。快速过了一遍防火墙配置，用Ansible+Lynis对所有Linux机器做了一次简单的审计。还是有发现的，有机器允许root登陆，SELinux配置问题，mysql空密码，有些软件包要排计划升级...这事儿主要责任在我，21 1433 3306 3389 6379 11211 27017等高危端口，当初是写了个脚本放在腾讯云上的一台虚拟机监控的，但是这些端口一般也不会向公网开放，一个又一个月过去了，虚拟机过期关闭了也没注意到。防火墙还是要收口到安全部门，要不然这种“黑盒”的监控不确定因素太多。cacti这个事情，运维这边平常本来也很忙，升级挺麻烦的。我说至少覆盖下那个php文件，当时好像也没poc，没办法验证，后来也就忘记了... 这补丁管理没做好，不能怪别人。通知到了不算，一定要验证。密码的事情我已经不想再说了，说了很多很多次... 我的建议是用Keepass+Btsync来做团队的密码管理方案。希望大家吸取我的教训，我也会继续更新这次暴露出的问题后续的处理供大家参考、自查。

2015-02-03：公开公开

漏洞评价：

评论

  1. 2014-12-26 14:37 | s0mun5 认证白帽子 ( 普通白帽子 | Rank:493 漏洞数:24 | .)

    人民币玩家又来了

  2. 2014-12-26 14:37 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

    人民币玩家又来了

  3. 2014-12-26 14:54 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

    @苏州同程旅游网络科技有限公司 处理速度和态度是最好的，说明该企业很重视企业安全和用户信息安全，而且正视问题

  4. 2014-12-27 16:02 | Coffee ( 普通白帽子 | Rank:144 漏洞数:15 | Corie, a student of RDFZ.)

    厂商态度给个赞！

  5. 2014-12-27 20:15 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

    应该号召厂商学习一下贵公司对安全处理的态度，不掩盖，正视问题，快速处理，而且很得当，良心企业

  6. 2014-12-28 21:02 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

    厂商态度给个赞！

  7. 2015-01-05 13:01 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])

    这个厂商是想做乌云厂商的标杆么，不错幺

  8. 2015-01-05 13:13 | 草榴社区 ( 普通白帽子 | Rank:109 漏洞数:26 | 未满18周岁,不准进入.)

    赞.厂商不错.

  9. 2015-01-05 13:13 | 杀器王子 认证白帽子 ( 普通白帽子 | Rank:1532 漏洞数:121 | 磨刀霍霍向猪羊)

    @苏州同程旅游网络科技有限公司 礼物收到了啊 私信点了确认了

  10. 2015-01-06 19:51 | loli 认证白帽子 ( 普通白帽子 | Rank:550 漏洞数:52 )

    不会是打着补漏洞的借口出轨吧，哈哈哈

  11. 2015-01-08 00:45 | Martes ( 路人 | Rank:21 漏洞数:3 | 人若无名，便可专心练剑)

    甲方做安全，盘子大，问题多，没话语权推不动真心累啊 哎

  12. 2015-01-21 20:42 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)

    厂商的回复是给老婆看的么？

  13. 2015-01-27 20:49 | ACGT ( 实习白帽子 | Rank:32 漏洞数:4 | another script kiddie)

    看到厂商对运维安全的理解还停留在封端口、打补丁的时代，我就放心了

  14. 2015-01-28 16:53 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

    @ACGT 求给个进步的方法

  15. 2015-02-03 13:49 | 苏州同程旅游网络科技有限公司(乌云厂商)

    @ACGT 半路出家，望赐教

  16. 2015-02-03 14:31 | 秋风 ( 普通白帽子 | Rank:438 漏洞数:44 | 码农一枚，关注互联网安全)

    厂商态度给个赞！

  17. 2015-02-03 17:06 | illl ( 路人 | Rank:16 漏洞数:9 | 轻吟一句情话，执笔一副情画。绽放一地情...)

    点赞

  18. 2015-02-03 22:47 | cuger ( 普通白帽子 | Rank:200 漏洞数:44 | 这个家伙很懒，什么也没留下)

    @苏州同程旅游网络科技有限公司 良心厂商啊，赞一个！

  19. 2015-02-05 17:21 | hblf ( 路人 | Rank:14 漏洞数:2 | 甲方安全攻城狮一枚)

    @苏州同程旅游网络科技有限公司 兄弟有没有考虑在内部用电子流程跟踪问题，比如这个洞涉及到的“覆盖下那个php文件，当时好像也没poc，没办法验证”，在内部oa建个漏洞跟踪流程，发现一个洞你就启一个流程，下一节点设成相关开发，修补好了再流回你这里验证，验证通过了流程close。中间可以根据实际情况抄送相关领导。大概就是这么个意思。用流程的好处大大的，省的你自己手工记录，做相关数据统计什么的也方便，尤其年底需要向老板“邀功”时候，哈哈。

  20. 2015-02-05 17:26 | 苏州同程旅游网络科技有限公司(乌云厂商)

    @hblf 有jira，不过没有真的在用jira走流程。

  21. 2015-06-08 09:57 | sql小神 ( 路人 | Rank:19 漏洞数:4 | 有些漏洞可以提，有些漏洞不可以提。)

    @苏州同程旅游网络科技有限公司 最近你们挺火的啊。。。。