当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0149650

漏洞标题:Juniper VPN 存在缺陷可绕过短信\token验证导致漫游内网

相关厂商:Juniper

漏洞作者: if、so

提交时间:2015-10-26 20:52

修复时间:2015-12-17 14:48

公开时间:2015-12-17 14:48

漏洞类型:设计错误/逻辑缺陷

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-10-26: 细节已通知厂商并且等待厂商处理中
2015-10-30: 厂商已经确认,细节仅向厂商公开
2015-11-02: 细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航
2015-12-24: 细节向核心白帽子及相关领域专家公开
2016-01-03: 细节向普通白帽子公开
2016-01-13: 细节向实习白帽子公开
2015-12-17: 细节向公众公开

简要描述:

全球知名网络设备提供商juniper存在缺陷可绕过短信、token验证。好像是oday~

详细说明:

其实很简单
juniper一般是通过AD域验证或者预设账号验证,但是现在安全意识越来越好了,厂商们纷纷加入了短信,动态token验证,这样即使有了对应的账号密码也无法登陆vpn
如何绕过了?
juniper vpn的登陆地址是:
https://xxx/dana-na/auth/url_default/welcome.cgi
仔细看是default出卖了自己,因为juniper可以自己修改vpn页面或者开通多个vpn登陆入口
所以为绕过安全策略埋下伏笔

漏洞证明:

以金山为例
https://**.**.**.**/dana-na/auth/url_default/welcome.cgi
默认页面是这个,不用想肯定有动态码、短信验证

ks11.png


改成https://**.**.**.**/dana-na/auth/url_2/welcome.cgi
页面发生了变化

ks2.png


tz_offset=480&username=test&password=xxx#&realm=test&btnSubmit=Sign+In


登陆请求发现分组已经是test了
果断爆破,用户名就选test吧,成功爆破,登陆成功

ks.png


1111.png


再贴一个测试成功的案例

1111.png


2222.png


3333.png


总结:想绕过动态码验证,更改url_default为url_1或者url_2或者3,4,5只要厂商自定义了其他页面,那就可能突破成功

修复方案:

只允许用户访问特定页面

版权声明:转载请注明来源 if、so@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:11

确认时间:2015-10-30 17:04

厂商回复:

CNVD确认并复现所述情况,已经由CNVD通过网站公开联系方式向网站管理单位通报。

最新状态:

暂无


漏洞评价:

评价

  1. 2015-10-26 20:56 | Coody 认证白帽子 ( 核心白帽子 | Rank:1717 漏洞数:204 | 不接单、不黑产;如遇接单收徒、绝非本人所...)

    竟然发出来了?

  2. 2015-10-26 20:57 | qhwlpg ( 普通白帽子 | Rank:260 漏洞数:63 | 潜心代码审计。)

    厉害!

  3. 2015-10-26 20:59 | YY-2012 ( 普通白帽子 | Rank:3247 漏洞数:681 | 意淫,是《红楼梦》原创的词汇,但后来演变...)

    发出来了?。。

  4. 2015-10-26 21:03 | hecate ( 普通白帽子 | Rank:720 漏洞数:108 | ®高级安全工程师 | WooYun认证√)

    强了猪哥的头条

  5. 2015-10-26 21:09 | Mieless ( 实习白帽子 | Rank:35 漏洞数:10 | 我是来打酱油的。)

  6. 2015-10-26 21:09 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1278 漏洞数:128 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    居然舍得发出来

  7. 2015-10-26 21:10 | HackBraid 认证白帽子 ( 核心白帽子 | Rank:1841 漏洞数:292 | HackBraid昵称的由来是一款名为Braid的游戏...)

    居然舍得发出来

  8. 2015-10-26 21:14 | DloveJ ( 普通白帽子 | Rank:1200 漏洞数:218 | Web安全测试培训 QQ269787775)

    居然舍得发出来L7NG

  9. 2015-10-26 21:18 | 珈蓝夜宇 ( 普通白帽子 | Rank:226 漏洞数:33 | 人不彻底绝望一次,就不会懂得什么是自己最...)

    这几天平均两天一个雷,这是怎么了?

  10. 2015-10-26 21:33 | onpu ( 普通白帽子 | Rank:167 漏洞数:37 | 勿忘初心)

    竟然发出来了?

  11. 2015-10-26 21:55 | wy007 ( 普通白帽子 | Rank:108 漏洞数:11 | 其实我是一名卧底...)

    怎么舍得发出来啊?

  12. 2015-10-26 22:03 | answer 认证白帽子 ( 普通白帽子 | Rank:397 漏洞数:49 | 答案)

    膜拜膜拜

  13. 2015-10-26 22:18 | 随风的风 ( 普通白帽子 | Rank:201 漏洞数:67 | 微信公众号:233sec 不定期分享各种漏洞思...)

    怎么舍得发出来啦??要抢猪哥的头条?

  14. 2015-10-26 22:47 | Sai、 ( 路人 | Rank:8 漏洞数:2 | for fun……)

    我靠,这都舍得发出来,膜膜膜

  15. 2015-10-26 23:16 | 数据流 认证白帽子 ( 普通白帽子 | Rank:738 漏洞数:93 | 没关系啊,我们还有音乐)

    mark

  16. 2015-10-26 23:18 | 小红猪 ( 普通白帽子 | Rank:285 漏洞数:48 | little red pig!)

    膜拜

  17. 2015-10-26 23:28 | zeracker 认证白帽子 ( 普通白帽子 | Rank:1077 漏洞数:139 | 多乌云、多机会!微信公众号: id:a301zls ...)

    牛逼啊。

  18. 2015-10-27 00:01 | scanf ( 核心白帽子 | Rank:1334 漏洞数:195 | 。)

    这日狗啊 牛逼⋯⋯

  19. 2015-10-27 09:37 | 浩天 认证白帽子 ( 核心白帽子 | Rank:925 漏洞数:80 | 哈!躁起来!)

    案例内容实际挺low,但是我给了精华,if、so 关注的点不错

  20. 2015-10-27 09:40 | fuckadmin ( 普通白帽子 | Rank:616 漏洞数:87 | 千里之堤溃于蚁穴)

    @浩天 现在都喜欢刷国外厂商了,NB

  21. 2015-10-27 09:43 | if、so 认证白帽子 ( 核心白帽子 | Rank:1054 漏洞数:95 | 梦想还是要有的,万一实现了呢?)

    @浩天 一一、你要我进去先漫游一通在交上来吗?重点就是绕过验证码

  22. 2015-10-27 11:23 | 胡小树 ( 实习白帽子 | Rank:66 漏洞数:13 | 我是一颗小小树)

    吊吊吊

  23. 2015-10-28 17:38 | DNS ( 普通白帽子 | Rank:696 漏洞数:73 | root@qisec.com)

    案例内容实际挺low,但是我给了精华,if、so 关注的点不错

  24. 2015-10-30 17:07 | king7 ( 普通白帽子 | Rank:1593 漏洞数:230 | 闭关修炼易筋经)

    @DNS 表哥这B可以,菊花交出来吧

  25. 2015-10-30 17:17 | f4ckbaidu ( 普通白帽子 | Rank:223 漏洞数:28 | 开发真是日了狗了)

    屌屌屌

  26. 2015-10-30 17:23 | 高小厨 认证白帽子 ( 普通白帽子 | Rank:882 漏洞数:80 | 不会吹牛的小二不是好厨子!)

    膜拜

  27. 2015-11-02 18:00 | 明月影 ( 路人 | Rank:12 漏洞数:8 )

    最近天不好。经常打雷