当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0121759

漏洞标题：人类的怠惰之一安全管理执行力度不够导致唱吧安全边界被突破（进入内网）

相关厂商：Changba-inc

漏洞作者： 猪猪侠

提交时间：2015-06-20 13:15

修复时间：2015-08-06 13:26

公开时间：2015-08-06 13:26

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-06-20： 细节已通知厂商并且等待厂商处理中
2015-06-22： 厂商已经确认，细节仅向厂商公开
2015-07-02： 细节向核心白帽子及相关领域专家公开
2015-07-12： 细节向普通白帽子公开
2015-07-22： 细节向实习白帽子公开
2015-08-06： 细节向公众公开

简要描述：

就是个弱口令，简单而又高效且杀伤力巨大
http://zone.wooyun.org/content/21962
中国姓名排行TOP500(数据统计来自国家人口数据库)
http://zone.wooyun.org/content/18372
Top 100 baby names per country
http://t.cn/RwLzSdU
List of most popular given names
http://t.cn/8sEjmYG
Some common countries. Top 10 surnames and forenames
http://t.cn/RwLzSd4
List of most common surnames in Asia
http://t.cn/zTAFSEu

详细说明：

http://wiki.changba.com:8090
liuyang：admin

changba.png


Windows VISTA, Windows 7 使用
 
1. 安装openvpn图形界面和openvpn程序
   下载openvpn-2.1.1-install.exe(文件来自http://openvpn.net/release/并安装。
   安装TAP驱动的时候有个没有经过数字签名的警告,选择允许安装.
   
2. 把openvpn配置文件openvpn.zip(无效了) 下载到机器临时目录，并解压出3个文件，把这3个文件拷贝到到openvpn安装目录config下面,一般是
   C:\program files\openvpn\config   
3. 到openvpn的安装目录bin下(默认是C:\program files\openvpn\bin)，找到openvpn-gui.exe, 在这个openvpn-gui.exe文件上单击鼠标右键,选择"以管理员身份运行"(英语是Run as Administrator)
4. 如果openvpn-gui已经启动，选择退出
5. 单击openvpn-gui就可以连接vpn了.
 
WINDOWS新版配置文件更新： openvpn.zip
 
 
Mac OS X 系统使用
首先我们需要的工具是~Tunnelblick，这个软件。
你可以去这里下载
http://code.google.com/p/tunnelblick/
上面有wiki描述如何配置。 参考openvpn配置文件openvpn.zip 在图形界面配置即可。
openvpn_for_mac.zip
openvpn_config_for_mac.zip  
VPN登录的用户名和密码是vpnuser:  changba!com


各种敏感信息：

xinxi.png

漏洞证明：

client
#dev tun
dev tap0
proto tcp
remote ppp.changbagroup.com 1443
script-security 2
resolv-retry infinite
# Most clients don't need to bind to
# a specific local port number.
nobind
# Downgrade privileges after initialization (non-Windows only)
user nobody
# Try to preserve some state across restarts.
persist-key
persist-tun
# If you are connecting through an
# HTTP proxy to reach the actual OpenVPN
# server, put the proxy server/IP and
# port number here.  See the man page
# if your proxy server requires
# authentication.
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]
# SSL/TLS parms.
# See the server config file for more
# description.  It's best to use
# a separate .crt/.key file pair
# for each client.  A single ca
# file can be used for all clients.
#ca xixico.com.crt
ca  cacert.pem
#cert client.crt
#key client.key
# tls-auth xixico.ta.key 0
comp-lzo
# Set log file verbosity.
verb 3
# Silence repeating messages
;mute 20
#auth-user-pass
auth-user-pass

修复方案：

安全管理

版权声明：转载请注明来源 猪猪侠@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2015-06-22 13:25

厂商回复：

wiki的内网绑定代码配置错误了，导致8090端口外泄。谢谢指正。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-06-20 13:16 | 炊烟 ( 普通白帽子 | Rank:238 漏洞数:44 | 每一天都需要努力。)

    前排

  2. 2015-06-20 13:17 | 梧桐雨 认证白帽子 ( 核心白帽子 | Rank:1576 漏洞数:184 | 关注技术与网络安全)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  3. 2015-06-20 13:25 | scanf ( 核心白帽子 | Rank:1232 漏洞数:186 | 。)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  4. 2015-06-20 13:26 | Noxxx ( 普通白帽子 | Rank:509 漏洞数:41 )

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  5. 2015-06-20 13:27 | 机器猫 ( 普通白帽子 | Rank:1141 漏洞数:253 | 爱生活、爱腾讯、爱网络！)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  6. 2015-06-20 13:28 | JiuShao ( 普通白帽子 | Rank:405 漏洞数:94 | ╮(╯▽╰)╭锄禾日当午)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  7. 2015-06-20 13:29 | wutongyu ( 实习白帽子 | Rank:55 漏洞数:30 | 我的小心脏)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  8. 2015-06-20 13:29 | eval ( 普通白帽子 | Rank:131 漏洞数:23 | 专注小厂商五十年。)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  9. 2015-06-20 13:33 | Me_Fortune ( 普通白帽子 | Rank:209 漏洞数:71 | I'm Me_Fortune)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  10. 2015-06-20 13:56 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  11. 2015-06-20 13:56 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  12. 2015-06-20 14:09 | niliu 认证白帽子 ( 核心白帽子 | Rank:1542 漏洞数:206 | 逆流而上)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  13. 2015-06-20 14:12 | 窝窝哥 ( 实习白帽子 | Rank:86 漏洞数:29 | 没WB啊啊啊啊！)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  14. 2015-06-20 14:18 | jeary ( 普通白帽子 | Rank:296 漏洞数:106 | (:‮.kcaH eb nac gnihtynA))

    猪猪侠用上了人类两个字，是否是因为已经超神。——Only two things are infinite: the universe and human stupidity; and I'm not sure about the the universe

  15. 2015-06-20 14:25 | _Thorns ( 普通白帽子 | Rank:882 漏洞数:157 | 收wb 1：5 无限量收 [平台担保]))

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  16. 2015-06-20 14:45 | Black Angel ( 普通白帽子 | Rank:163 漏洞数:35 | 最神奇的一群人，智慧低调又内敛，俗称马甲...)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  17. 2015-06-20 14:59 | 端端 ( 普通白帽子 | Rank:133 漏洞数:18 | niconiconi~)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  18. 2015-06-20 15:02 | m_vptr ( 普通白帽子 | Rank:133 漏洞数:30 | 新手)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  19. 2015-06-20 15:04 | diguoji ( 普通白帽子 | Rank:323 漏洞数:79 | 中国吉林长春)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  20. 2015-06-20 15:48 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  21. 2015-06-20 16:04 | Neeke ( 普通白帽子 | Rank:101 漏洞数:24 | 求传授刷Rank方法？)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  22. 2015-06-20 16:48 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  23. 2015-06-20 16:57 | 陆由乙 ( 普通白帽子 | Rank:119 漏洞数:38 | 呵呵！)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  24. 2015-06-20 17:11 | 淡漠天空 认证白帽子 ( 实习白帽子 | Rank:1113 漏洞数:142 | M:出售GOV STATE NSA CIA NASA DHS Symant...)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  25. 2015-06-20 17:12 | 我爱水秀天蓝 ( 普通白帽子 | Rank:103 漏洞数:15 | 好好学习，天天向上！)

    猪猪侠是用猪的眼神看人类的。

  26. 2015-06-20 18:00 | DeadSea ( 实习白帽子 | Rank:86 漏洞数:28 | 静心)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  27. 2015-06-20 21:21 | xyang ( 普通白帽子 | Rank:242 漏洞数:51 | stay hungry stay foolish)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  28. 2015-06-20 21:26 | black4yl ( 路人 | Rank:2 漏洞数:1 | WoHoo !)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  29. 2015-06-20 21:30 | 叶小枫 ( 路人 | Rank:2 漏洞数:5 | ioiogoo)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  30. 2015-06-20 21:55 | 0c0c0f ( 实习白帽子 | Rank:48 漏洞数:15 | My H34rt c4n 3xploit 4ny h0les!)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  31. 2015-06-20 22:06 | 小夜 ( 路人 | Rank:15 漏洞数:8 | 漫长的日子)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  32. 2015-06-21 15:20 | 小呆呆 ( 实习白帽子 | Rank:41 漏洞数:7 | 每次有人骂我猪我都说我偶像也是猪)

    然而股市对猪猪侠并没有产生什么影响

  33. 2015-06-21 15:23 | 月无痕 ( 实习白帽子 | Rank:58 漏洞数:11 | 千里之行始于兴趣~)

    这是保持队形的节奏。。。

  34. 2015-06-21 15:32 | 小杰哥 ( 普通白帽子 | Rank:155 漏洞数:25 | 逆水行舟，不进则退。)

    然而股市对猪猪侠并没有产生什么影响

  35. 2015-06-21 21:47 | Alan* ( 路人 | Rank:16 漏洞数:5 | 少壮不努力，长大捡垃圾)

    然而股市对猪猪侠并没有产生什么影响

  36. 2015-06-21 22:47 | 小红猪 ( 普通白帽子 | Rank:194 漏洞数:30 | Wow~~~哈哈~~~)

    然而股市对猪猪侠并没有产生什么影响

  37. 2015-06-22 00:48 | 荫僵蓝殿 ( 路人 | Rank:4 漏洞数:2 | 逗逼僵尸。。。浪里格朗)

    然而股市对猪猪侠并没有产生什么影响

  38. 2015-06-22 04:46 | 阿布 ( 路人 | Rank:16 漏洞数:5 )

    然而股市对猪猪侠并没有产生什么影响

  39. 2015-06-22 12:58 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)

    然而股市对猪猪侠并没有产生什么影响

  40. 2015-06-22 13:50 | harbour_bin ( 普通白帽子 | Rank:358 漏洞数:47 | 向TOP200进军！)

    然而股市对猪猪侠并没有产生什么影响

  41. 2015-06-22 15:35 | Mr.R ( 实习白帽子 | Rank:52 漏洞数:14 | 求大神带我飞 qq2584110147)

    然而股市对猪猪侠并没有产生什么影响

  42. 2015-06-22 16:22 | f1t2y ( 路人 | Rank:6 漏洞数:3 | 为人驱使者为奴,为人尊处者为客)

    然而股市对猪猪侠并没有产生什么影响

  43. 2015-06-22 16:46 | 追寻 ( 实习白帽子 | Rank:86 漏洞数:18 | 闭关修炼)

    然而股市对猪猪侠并没有产生什么影响

  44. 2015-06-22 17:13 | scanf ( 核心白帽子 | Rank:1232 漏洞数:186 | 。)

    然而股市对猪猪侠并没有产生什么影响

  45. 2015-06-22 17:29 | Stardustsky ( 路人 | Rank:4 漏洞数:3 | ……)

    然而股市对猪猪侠并没有产生什么影响

  46. 2015-06-22 19:29 | mikecracker ( 路人 | Rank:6 漏洞数:3 | none of my business)

    然而股市对猪猪侠并没有产生什么影响

  47. 2015-06-22 19:42 | 卖C4的小男孩 ( 实习白帽子 | Rank:65 漏洞数:6 | 啦啦啦 啦啦啦 我是一个卖C4的小行家!...)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  48. 2015-06-23 10:45 | Annabelle ( 实习白帽子 | Rank:46 漏洞数:15 | .)

    然而股市对猪猪侠并没有产生什么影响

  49. 2015-06-23 11:33 | timor ( 路人 | Rank:0 漏洞数:1 | 学习，学习，学习，有知识才能看的更远)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  50. 2015-06-23 12:53 | diskring ( 路人 | Rank:4 漏洞数:3 | 小号。。)

    然而股市对猪猪侠并没有产生什么影响

  51. 2015-06-23 14:14 | Honker红颜 ( 普通白帽子 | Rank:156 漏洞数:51 | 皖南人士,90后宅男,自学成才,天朝教育失败....)

    然而股市对猪猪侠并没有产生什么影响

  52. 2015-06-25 22:47 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  53. 2015-06-26 13:07 | Hogns ( 实习白帽子 | Rank:62 漏洞数:13 | 呵呵哒)

    然而股市对猪猪侠并没有产生什么影响

  54. 2015-06-26 18:47 | leakless ( 路人 | Rank:6 漏洞数:3 | 今天我没吃药感觉自己萌萌哒~~)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。然而股市对猪猪侠并没有产生什么影响

  55. 2015-08-06 13:39 | BeenQuiver ( 普通白帽子 | Rank:101 漏洞数:26 | 专注而高效，坚持好的习惯千万不要放弃)

    rank5，哈哈

  56. 2015-08-06 13:41 | qhwlpg ( 普通白帽子 | Rank:226 漏洞数:54 | 潜心代码审计。)

    然而股市对猪猪侠并没有产生什么影响

  57. 2015-08-06 13:49 | 炯炯虾 ( 路人 | Rank:2 漏洞数:1 | 我来自地球)

    起这么吊的名字 漏洞却这么简单

  58. 2015-08-06 14:55 | 八戒 ( 路人 | Rank:17 漏洞数:3 | ~~鬼畜之王~~)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。

  59. 2015-08-06 16:18 | 苏安泽 ( 实习白帽子 | Rank:73 漏洞数:25 | 敢不敢关注一下，<script>alert('关注成功'...)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。 然而股市对猪猪侠并没有产生什么影响，猪猪侠只是看股市不爽就来挖洞。

  60. 2015-08-07 11:57 | 666 ( 路人 | Rank:1 漏洞数:2 | 他说第一得写个人介绍。)

    股市不好的时候，猪猪侠就跑来发洞了。紧跟趋势。