当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0134222

漏洞标题:云南移动某业务管理平台存在帐号密码暴力破解+越权查看任意人员帐号信息+任意文件上传漏洞

相关厂商:中国移动

漏洞作者: qglfnt

提交时间:2015-08-17 12:45

修复时间:2015-10-03 09:52

公开时间:2015-10-03 09:52

漏洞类型:敏感信息泄露

危害等级:高

自评Rank:12

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-08-17: 细节已通知厂商并且等待厂商处理中
2015-08-19: 厂商已经确认,细节仅向厂商公开
2015-08-29: 细节向核心白帽子及相关领域专家公开
2015-09-08: 细节向普通白帽子公开
2015-09-18: 细节向实习白帽子公开
2015-10-03: 细节向公众公开

简要描述:

云南移动某业务管理平台存在帐号密码暴力破解+越权查看任意人员帐号信息+任意文件上传漏洞

详细说明:

http://183.224.74.252/Login.aspx

漏洞证明:

登录页面可暴力破解,登录页面抓包

20150814204454.jpg


然后开始爆破,查看数据包长度,成功爆出帐号密码登录业务系统
test/test123

20150814204852.png


20150814205048.png


可查看很多信息

20150814205201.png


可查看任意人员帐号信息

20150814205337.png


点击编辑可查看人员帐号信息,密码还是明文。。。大家好,我是明文!

20150814205504.png


下面说说越权
点击人员管理选项抓包

20150814205808.png


得到人员管理页面文件信息

20150814205925.png


可通过抓取到UserManage.aspx页面查看到人员帐号信息,如果在没有进业务系统的情况直接访问
http://183.224.74.252/UserManage.aspx会跳转到首页登录界面,所以可绕过验证访问人员管理页面。
直接在浏览器上打开http://183.224.74.252/UserManage.aspx抓包

20150814210454.png


查看返回数据包,去掉本地验证

20150814210746.png


20150814210954.png


再点击下查询,人员帐号信息就全部显示出来了

20150814211212.jpg


最后还有个任意文件上传

20150814211704.png


查看刚才建的任务

20150814212109.png


成功上传

20150814212213.png


点击下载得到文件名称

20150814212433.png


最后通过扫描得到文件存放在upload目录下
Webshell

20150814213508.png


over

修复方案:

前台登录限制(帐号密码错误数限制),严格限制页面访问,限制文件格式上传

版权声明:转载请注明来源 qglfnt@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:12

确认时间:2015-08-19 09:50

厂商回复:

CNVD确认并复现所述情况,已经转由CNCERT向中国移动集团公司通报,由其后续协调网站管理部门处置.

最新状态:

暂无


漏洞评价:

评论