当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0112255

漏洞标题：三亚机场WIFI系统多处认证绕过漏洞（经典认证逻辑测试思路）

相关厂商：三亚机场无线网络

漏洞作者： 独孤城

提交时间：2015-05-05 18:44

修复时间：2015-06-23 16:32

公开时间：2015-06-23 16:32

漏洞类型：未授权访问/权限绕过

危害等级：中

自评Rank：9

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-05-05： 细节已通知厂商并且等待厂商处理中
2015-05-09： 厂商已经确认，细节仅向厂商公开
2015-05-19： 细节向核心白帽子及相关领域专家公开
2015-05-29： 细节向普通白帽子公开
2015-06-08： 细节向实习白帽子公开
2015-06-23： 细节向公众公开

简要描述：

三亚出差，经过机场简单看了一下WIFI系统。三亚机场WIFI系统Web Portal认证系统存在逻辑错误，任意用户可绕过系统身份认证进行登陆，实现匿名上网，并可监听其他合法用户网络数据包。想干坏事去机场哈

详细说明：

可进行登陆密码穷举：
连接机场WIFI网络。连接网络后我们打开浏览器，访问任意地址。此时请求会重定向到Web认证服务器。此时服务器要求提交用户手机号码，作为身份认证凭证访问网络。提交可用手机号后，发现验证密码是4位数字。
简单检查系统，发现并未设置验证码，也未对登陆次数进行限制。
截取登陆数据包：

GET /portal/ajaxlogin?user=86********{此处为冒充的手机号码}&password=${Gen_7}&language=1&_=1429299379639 HTTP/1.1
Host: 192.168.1.253
Connection: keep-alive
Accept: application/json, text/javascript, */*; q=0.01
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.143 Safari/537.36
Referer: http://192.168.1.253/portal
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8,en;q=0.6
Cookie: PHPSESSID=f6ncf0e1kf3ue6ephvh4qf8g70; from_url=http%3A%2F%2F192.168.1.253%2F


我们用WVS自带工具进行穷举攻击。

2.png


几分钟之内我们便可找到任意用户的验证码。结果如下：

3.png


使用该验证码可成功通过portal系统验证，接入互联网。摆脱big brother监控，实现匿名上网。
各种坏事随意干哈。
另外通过抓包一次正常的登陆过程，发现可以可以发现登陆成功后存在一个访问连接：
http://192.168.1.253/portal/success?uid=86****{手机号码}&sip=10.10.0.250&mac=c4017c*******&client_mac=74e543********&ssid=%23Airport-Free-WiFi%20SanYa&vlan=&res=success&url=http%3a%2f%2fwp.mail.qq.com
74e543********此处为注册上网的mac地址。修改此处mac地址注册其他设备上网，同样实现了匿名上网。想干坏事去机场哈。

漏洞证明：

另外简单用dspolit对网络进行了一下监听，公共wifi问题也是大大的。
装有dspolit手机接入以上WIFI系统。可对网络数据包进行监听，窃取信息。
具体证明如下：

7375259988819769733.jpg


打开我们监听的数据包：

3089814672647812633.jpg


有人在访问微信朋友圈哈。

修复方案：

1.对于登陆认证绕过和密码穷举问题。
做好基本的逻辑，程序员你懂的。
2.数据包监听。
还是别用WIFI了。

版权声明：转载请注明来源 独孤城@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2015-05-09 16:30

厂商回复：

CNVD未直接复现所述情况,已经转由CNCERT向民航行业测评中心通报,由其后续协调网站管理单位处置.

最新状态：

暂无

漏洞评价：

评论

  1. 2015-05-05 18:57 | 孤独行者 ( 普通白帽子 | Rank:110 漏洞数:44 | 时光如水，总是无言。你若安好，便是晴天)

    这。。。。真是走到哪，黑到哪。

  2. 2015-05-05 19:48 | 小人物Reno ( 普通白帽子 | Rank:471 漏洞数:110 | X)

    真是走到哪，黑到哪。 警察叔叔，就是他！

  3. 2015-05-07 10:18 | 独孤城 ( 实习白帽子 | Rank:36 漏洞数:3 )

    @迈外迪

  4. 2015-05-13 17:25 | 夜未央 ( 路人 | 还没有发布任何漏洞 | 漏洞分析爱好者)

    漏洞细节能否公开啊？