当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-092846

漏洞标题:工商银行某分站存在漏洞可SHELL(可绕过边界防火墙进入银行内网)

相关厂商:工商银行

漏洞作者: 猪猪侠

提交时间:2015-01-20 11:40

修复时间:2015-03-06 11:42

公开时间:2015-03-06 11:42

漏洞类型:后台弱口令

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-01-20: 细节已通知厂商并且等待厂商处理中
2015-01-23: 厂商已经确认,细节仅向厂商公开
2015-02-02: 细节向核心白帽子及相关领域专家公开
2015-02-12: 细节向普通白帽子公开
2015-02-22: 细节向实习白帽子公开
2015-03-06: 细节向公众公开

简要描述:

神器发现工商银行某分站存在漏洞可SHELL(可绕过边界防火墙进入内网),简单证明问题,未深入测试。

详细说明:

#1 问题服务器
w.icbc.com.cn [180.169.81.19]
content.icbc.com.cn [180.169.81.19]
#2 使用了第三方开源程序phpcms,同时后台存在弱口令
用户名:admin ,密码:admin123

icbc_houtai.png


#3 利用phpcms后台某个漏洞,获取到系统shell
http://www.wooyun.org/corps/phpcms

shell_icbc.png


漏洞证明:

#4 在内网

host_icbc.png


http://portal1.icbc.com.cn/portal/Login.do?method=doAuthNoPer&sourceURL=


<?php
/**
* 无感知认证[JSONP]
* @author xingshanghe <xingshanghe@gmail.com>
* @date 2014-5-21 下午2:00:11
* @version 1.0.0
* @copyright Copyright 2014 lekewifi.com
*/
header('Content-type: application/json');
ob_start();
require '../phpcms/vendors/requests/Requests.php';
Requests::register_autoloader();
//获取回调函数名
$callback = $_GET['callback'];
$obj = null;
//调用无感知认证接口
if ($_REQUEST['portalip']&&$_REQUEST['sourceURL']){
$portalip = $_REQUEST['portalip'];
$sourceURL = $_REQUEST['sourceURL'];
$url = 'http://'.$portalip.'/portal/Login.do?method=doAuthNoPer&sourceURL='.$sourceURL;
$obj = Requests::get($url);
}
echo $callback."(".json_encode($obj).")";exit;


<?php
return array(
'domain'=>array(
'inner'=>'172.16.10.5',//内网域名
'outter'=>'11.11.11.5'//外网域名
),

);


icbc_config.png


文件备份到内网的 10.0.12.125/24 VLAN

rsync_icbc.png


#5 工行个人网上银行的设计不安全,仅仅依靠sessionid参数鉴权,而且还放在url内get方式传递,在有icbc.com.cn二级域名控制权的情况下,跨域搞到sessionid后,危害极大。

icbc_sessionid.png


余额查询

icbc_ye.png


危害参考(相关猥琐利用):
WooYun: 一个可大规模悄无声息窃取淘宝/支付宝账号与密码的漏洞 -(埋雷式攻击附带视频演示)

修复方案:

# 后台藏起来
# 避免弱口令

版权声明:转载请注明来源 猪猪侠@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:14

确认时间:2015-01-23 08:53

厂商回复:

CNVD确认所述情况,已经转由CNCERT向银监会通报。

最新状态:

暂无


漏洞评价:

评论

  1. 2015-01-20 11:41 | cuger ( 普通白帽子 | Rank:200 漏洞数:39 | 这个家伙很懒,什么也没留下)

    V587

  2. 2015-01-20 11:42 | 猪猪侠 认证白帽子 ( 核心白帽子 | Rank:3224 漏洞数:207 | 你都有那么多超级棒棒糖了,还要自由干吗?)

    CCTV 看这里

  3. 2015-01-20 11:43 | he1renyagao ( 普通白帽子 | Rank:225 漏洞数:29 | 是金子总会发光,在还未发光之前,先打磨打...)

    CCTV 看这里

  4. 2015-01-20 11:43 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:17 | 当我又回首一切,这个世界会好吗?)

    神器发现...

  5. 2015-01-20 11:44 | 白非白 ( 普通白帽子 | Rank:447 漏洞数:39 | ♫ Freedom - Anthony Hamilton ♫)

    露点了

  6. 2015-01-20 11:45 | 毕月乌 ( 普通白帽子 | Rank:120 漏洞数:10 | 猜猜我是谁?)

    重点在神器

  7. 2015-01-20 11:45 | 李旭敏 ( 普通白帽子 | Rank:469 漏洞数:54 | ฏ๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎...)

    @杀器王子 收集全天下所有的杀器的男人

  8. 2015-01-20 11:47 | %230CC ( 路人 | Rank:6 漏洞数:2 | 溜溜)

    快递已打包 准备发货中

  9. 2015-01-20 12:42 | also ( 普通白帽子 | Rank:424 漏洞数:51 | 招渗透/php/前端/ios&android安全,广州地...)

    CCTV 看这里

  10. 2015-01-20 13:00 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    cctv这是杀器王子匿名的,抓他

  11. 2015-01-20 13:14 | 帅气小狼狗 ( 路人 | Rank:8 漏洞数:2 | 汪汪汪)

    cctv这是杀器王子匿名的,抓他

  12. 2015-01-20 13:31 | 无敌L.t.H ( 路人 | Rank:21 漏洞数:4 | ‮……肉肉捉活,亭长放解)

    坐等渣浪无良小编

  13. 2015-01-20 14:07 | 冷静 ( 路人 | Rank:3 漏洞数:2 )

    cctv这是杀器王子匿名的,抓他

  14. 2015-01-20 14:13 | 无心、 ( 实习白帽子 | Rank:71 漏洞数:19 | 你不是风儿,我也不是沙,再怎么缠绵也到不...)

    cctv这是杀器王子匿名的,抓他

  15. 2015-01-20 16:06 | 君莫笑 ( 路人 | Rank:15 漏洞数:13 | 热爱生活的喵)

    cctv这是杀器王子匿名的,抓他

  16. 2015-01-20 21:07 | 残雪 ( 实习白帽子 | Rank:34 漏洞数:7 | 屌丝一枚擅长扯淡)

    cctv这是杀器王子匿名的,抓他

  17. 2015-01-20 22:05 | 园长 ( 普通白帽子 | Rank:134 漏洞数:14 | 你在身边就是缘,缘分写在数据库里面。)

    王子下山来点兵,看是谁人我的兵

  18. 2015-01-23 08:59 | f4ck ( 实习白帽子 | Rank:42 漏洞数:5 | 有些人很牛B,一个漏洞能刷成N个。)

    改刷银行业了~~,叼

  19. 2015-03-22 22:56 | txcbg ( 普通白帽子 | Rank:391 漏洞数:53 | 说点什么呢?)

    NB

  20. 2015-05-10 21:24 | Samsong ( 路人 | 还没有发布任何漏洞 | Student.)

    直接捅到银监会吗。。。

  21. 2015-05-17 18:46 | Mujj ( 实习白帽子 | Rank:58 漏洞数:4 | IDC商)

    CCTV 看这里