漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0149650
漏洞标题：Juniper VPN 存在缺陷可绕过短信\token验证导致漫游内网
相关厂商：Juniper
漏洞作者： if、so
提交时间：2015-10-26 20:52
修复时间：2015-12-17 14:48
公开时间：2015-12-17 14:48
漏洞类型：设计错误/逻辑缺陷
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-10-26： 细节已通知厂商并且等待厂商处理中
2015-10-30： 厂商已经确认，细节仅向厂商公开
2015-11-02： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2015-12-24： 细节向核心白帽子及相关领域专家公开
2016-01-03： 细节向普通白帽子公开
2016-01-13： 细节向实习白帽子公开
2015-12-17： 细节向公众公开
简要描述：
全球知名网络设备提供商juniper存在缺陷可绕过短信、token验证。好像是oday~
详细说明：
其实很简单
juniper一般是通过AD域验证或者预设账号验证，但是现在安全意识越来越好了，厂商们纷纷加入了短信，动态token验证，这样即使有了对应的账号密码也无法登陆vpn
如何绕过了?
juniper vpn的登陆地址是：
https://xxx/dana-na/auth/url_default/welcome.cgi
仔细看是default出卖了自己，因为juniper可以自己修改vpn页面或者开通多个vpn登陆入口
所以为绕过安全策略埋下伏笔
漏洞证明：
以金山为例
https://**.**.**.**/dana-na/auth/url_default/welcome.cgi
默认页面是这个，不用想肯定有动态码、短信验证
改成https://**.**.**.**/dana-na/auth/url_2/welcome.cgi
页面发生了变化
登陆请求发现分组已经是test了
果断爆破，用户名就选test吧，成功爆破，登陆成功
再贴一个测试成功的案例
总结：想绕过动态码验证，更改url_default为url_1或者url_2或者3,4,5只要厂商自定义了其他页面，那就可能突破成功
修复方案：
只允许用户访问特定页面
版权声明：转载请注明来源 if、so@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2015-10-30 17:04
厂商回复：
CNVD确认并复现所述情况，已经由CNVD通过网站公开联系方式向网站管理单位通报。
最新状态：
暂无
漏洞评价：
评价
-
竟然发出来了？
-
居然舍得发出来
-
居然舍得发出来
-
膜拜膜拜
-
mark
-
牛逼啊。
-
案例内容实际挺low，但是我给了精华，if、so 关注的点不错
-
@浩天 一一、你要我进去先漫游一通在交上来吗？重点就是绕过验证码
-
膜拜
( 核心白帽子 | Rank:1717 漏洞数:204 | 不接单、不黑产；如遇接单收徒、绝非本人所...)