当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0113330

漏洞标题:教育部下属某网络安全测评中心网站权限配置不当被黑

相关厂商:教育部

漏洞作者: nauscript

提交时间:2015-05-11 18:51

修复时间:2015-06-29 16:06

公开时间:2015-06-29 16:06

漏洞类型:系统/服务运维配置不当

危害等级:高

自评Rank:12

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-05-11: 细节已通知厂商并且等待厂商处理中
2015-05-15: 厂商已经确认,细节仅向厂商公开
2015-05-25: 细节向核心白帽子及相关领域专家公开
2015-06-04: 细节向普通白帽子公开
2015-06-14: 细节向实习白帽子公开
2015-06-29: 细节向公众公开

简要描述:

教育部下属某网络安全测评中心网站权限配置不当被黑 有点讽刺

详细说明:

教育信息安全等级保护测评中心是从事教育信息系统安全等级测评、信息安全评估等安全服务的第三方检测评估机构。
通过国家信息安全等级保护测评机构资质认证,挂靠教育部教育管理信息中心
教育信息安全等级保护工作专题网站:http://dengbao.moe.edu.cn
据说和公安部网络安全保卫局的中国信息安全等级保护网有合作

0.jpg


目录遍历 到处是马 工具一连果然是Webdav有写入权限 看看大黑客的一句话 菜刀连之

1.jpg


2.jpg


有不少会务信息 还有提权痕迹 但看样子应该也是才黑不久 望引起重视
就这域名被诈骗、黑产利用了的话 还真没人不信的
而且还在负责网络安全检测的测评中心自己的专题网站,确实是让人诧异了

漏洞证明:

教育信息安全等级保护测评中心是从事教育信息系统安全等级测评、信息安全评估等安全服务的第三方检测评估机构。
通过国家信息安全等级保护测评机构资质认证,挂靠教育部教育管理信息中心
教育信息安全等级保护工作专题网站:http://dengbao.moe.edu.cn

0.jpg


目录遍历 到处是马 工具一连果然是Webdav有写入权限 看看大黑客的一句话 菜刀连之

1.jpg


2.jpg


有不少会务信息 还有提权痕迹 但看样子应该也是才黑不久 望引起重视
就这域名被诈骗、黑产利用了的话 还真没人不信的

修复方案:

1、清理木马程序
2、禁止webdav
3、关闭写权限

版权声明:转载请注明来源 nauscript@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2015-05-15 16:04

厂商回复:

CNVD未直接复现所述情况,已经转由CNCERT向国家上级信息安全协调机构上报,由其后续协调网站管理单位处置.

最新状态:

暂无


漏洞评价:

评论

  1. 2015-05-11 19:24 | Mr.R ( 实习白帽子 | Rank:52 漏洞数:14 | 求大神带我飞 qq2584110147)

    好牛逼的样子 前排围观

  2. 2015-05-11 19:33 | Ras Al Ghul ( 路人 | Rank:12 漏洞数:4 | 不可知论主义者)

    感觉是洞主发现了shell

  3. 2015-05-12 08:56 | 霍大然 ( 普通白帽子 | Rank:1136 漏洞数:178 | W币花完了,刷分还是不刷?)

    你这不是明着说:教育信息安全等级保护测评中心