当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0116152

漏洞标题:致远A8协同管理软件v3.2以上版本存在后门口令

相关厂商:seeyon.com

漏洞作者: 守望

提交时间:2015-05-25 19:14

修复时间:2015-08-28 19:17

公开时间:2015-08-28 19:17

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:5

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-05-25: 细节已通知厂商并且等待厂商处理中
2015-05-30: 厂商主动忽略漏洞,细节向第三方安全合作伙伴开放
2015-07-24: 细节向核心白帽子及相关领域专家公开
2015-08-03: 细节向普通白帽子公开
2015-08-13: 细节向实习白帽子公开
2015-08-28: 细节向公众公开

简要描述:

管理界面存在后门口令,导致之前的日志安全策略全部失效。网站信息泄露,用户session泄露。

详细说明:

I-回顾
先参看一下之前爆出的几个漏洞:
(1).致远A8-V5协同管理软件日志信息泄露(通杀V5)

 WooYun: 致远A8-V5协同管理软件日志信息泄露(通杀V5) 


(2).致远A8协同管理系统"后门"一样的Log泄露JSESSIONID可登陆用户

 WooYun: 致远A8协同管理系统"后门"一样的Log泄露JSESSIONID可登陆用户 


(3).上传getshell等等
II-漏洞原因
回顾的意义在于看一看以前问题的点,官方对/seeyon/management/status.jsp 和/logs/下的日志访问处理是,在/managenment/index.jsp这个文件中加入了密码验证处理,未授权访问management文件夹下内容时会跳转到首页,访问logs文件夹内容时会报异常。那么这个index.jsp中的密码验证是如何进行的呢?上图。
index.jsp:

<%
InfoOpenManager infoOpenManager = (InfoOpenManager)ApplicationContextHolder.getBean("infoOpenManager");
if(infoOpenManager.isAccess(request.getRemoteAddr(),request.getParameter("password")){
session.setAttribute("GoodLuckA8", Boolean.TRUE);
String serverInfo = getServletContext().getServerInfo();
if (serverInfo != null && serverInfo.contains("WebSphere")) {
response.sendRedirect("status4WAS.jsp");
}
else{
response.sendRedirect("status.jsp");
}
}
%>


由infoOpenManager.isAccess()进行验证.反编译相关class文件,infoOpenManager.isAccess()的实现:

public boolean isAccess(String remoteAddress, String password)
{
if ((password == null) || (remoteAddress == null)) {
return false;
}
if (("127.0.0.1".equals(remoteAddress)) || ("localhost".equalsIgnoreCase(remoteAddress)) || ("WLCCYBD@SEEYON".equals(password))) {
return true;
}
InfoOpen infoOpen = get();

return (infoOpen.isEnabled()) && (Strings.isNotBlank(infoOpen.getEndTime())) && (Datetimes.parseDatetimeWithoutSecond(infoOpen.getEndTime()).after(new Date())) && (password.equals(TextEncoder.decode(infoOpen.getPassword())));
}



if...不用多说了吧,幸亏remoteAddress是用request.getRemoteAddr()来取的。
iii-效果
随便找一个(其实也不是随便)看看效果——南京交通集团。
(1).试图进行未授权访问/seeyon/management/status.jsp时,302到index.jsp。

QQ图片113.jpg


(2).尝试访问/logs/login.log时,报异常。

QQ截图114.png


(3).利用后门口令登陆后

QQ115.png


信息泄露:

QQ 116.png


系统操作及异常日志:

QQ118.png


用户登录日志:

QQ119.png


登陆效果:

QQ图片120.jpg


getshell跟本漏洞无关,所以不继续跟进,但并不表明这个漏洞的危害小。
III-影响版本及范围
v3.2以上、fofa

漏洞证明:

见详细说明栏。

修复方案:

版权声明:转载请注明来源 守望@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-08-28 19:17

厂商回复:

漏洞Rank:8 (WooYun评价)

最新状态:

暂无


漏洞评价:

评论

  1. 2015-05-25 19:26 | PgHook ( 普通白帽子 | Rank:964 漏洞数:115 | ...........................................)

    牛逼

  2. 2015-05-26 20:55 | 白非白 ( 普通白帽子 | Rank:447 漏洞数:60 | ♫ Freedom - Anthony Hamilton ♫)

    diao~

  3. 2015-08-27 20:03 | 动感超人 ( 实习白帽子 | Rank:42 漏洞数:10 | 小心动感光波)

    但是最后那个MD5不是登陆密码吧,,那是什么啊?

  4. 2015-08-28 20:18 | 东方不败 ( 普通白帽子 | Rank:440 漏洞数:66 | 日出东方,唯我不败。)

    最后一个是什么加密啊。。不是MD5啊

  5. 2015-08-28 21:13 | 金枪银矛小霸王 ( 普通白帽子 | Rank:103 漏洞数:25 | 不会挖洞洞的猿猿不是好学生)

    @动感超人 @东方不败 最后一个是类似于cookie的东西

  6. 2015-08-30 12:13 | 东方不败 ( 普通白帽子 | Rank:440 漏洞数:66 | 日出东方,唯我不败。)

    @金枪银矛小霸王 恩 是JSESSIONID,没仔细看- - 多谢

  7. 2015-09-12 00:56 | BMa ( 普通白帽子 | Rank:1776 漏洞数:200 )

    @守望 求教怎么getshell?