漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0109565
漏洞标题：某贵金属网站存在后门，客户数据存在被盗风险
相关厂商：陕西有色金属交易中心
漏洞作者： 子非鱼
提交时间：2015-04-28 15:40
修复时间：2015-06-12 15:42
公开时间：2015-06-12 15:42
漏洞类型：成功的入侵事件
危害等级：高
自评Rank：12
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-04-28： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-06-12： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
又是一个不眠之夜，窗外的雨伴着雷声，淅淅沥沥的下着！.............
详细说明：
又是一个不眠之夜，窗外的雨伴着雷声，淅淅沥沥的下着！房间里的灯泡突然间一闪一闪的，桌上电热壶的灯随着电压的不稳定也开始一闪一闪，格外的诡异！正在此刻，突然，手机响起了电压不足的提示音，魂都吓跑了！冷静下来回头望了望窗外，看着不远处那一下就想把地球劈成两半的闪电，整个身子像是被泼了一盆冷水，不禁打了个寒颤！神经顿时紧张起来，这……….这该不会是要闹鬼吧！~.~ 去NMD，都21世纪了，哪有鬼嘛！明明就是自己在吓自己， 抖颤的手握着另一只手的手腕端起电热壶向杯子里倒了一杯不算太热的白开水！喝一口压压惊，翻开待机已久的随身电脑，放了一首“我欲成仙，快乐齐天” 瞬间不稳定的心恢复了过来。
打开电脑，无聊。友情检测一下我们省的各种网站。。。。此处省略一万字
www.shxme.com 偶然的一次扫描。发现一句话木马：http://shxme.com/api/php.php
爆破之。。。密码：sbq 连接。。。
里面直接由数据库配置文件，我也没连。也看到了root权限。服务器添加不进去账户也就没尝试提权。 就是这样，喵！！
漏洞证明：
修复方案：
删除后门并加强网站安全。
版权声明：转载请注明来源 子非鱼@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝