当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-097561

漏洞标题:论春节期间某市政府安全运维不当导致的诸多影响(内网OA/数据库/监控/VPN/所有单位人员姓名/手机号等)

相关厂商:某市政府

漏洞作者: diguoji

提交时间:2015-02-25 12:10

修复时间:2015-04-13 16:58

公开时间:2015-04-13 16:58

漏洞类型:文件上传导致任意代码执行

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-02-25: 细节已通知厂商并且等待厂商处理中
2015-03-02: 厂商已经确认,细节仅向厂商公开
2015-03-12: 细节向核心白帽子及相关领域专家公开
2015-03-22: 细节向普通白帽子公开
2015-04-01: 细节向实习白帽子公开
2015-04-13: 细节向公众公开

简要描述:

因为一个人家是那里的 就随便百度一下,话说端口扫描都没扫,比较脆弱,OA系统内网服务器沦陷,2台内网数据库服务器,一台监控系统 涉及该市4680名政府及相关单位人员包括驻军单位武警单位,以及个人信息。

详细说明:

习惯性的点击这个平台.png


这个OA上传漏洞还是比较多的,直接SHELL

shell.png


入内网

服务器.png


OA数据库不在同服务器 4000多名该市工作人员

4680OA账号密码.png


管理员OA.png


在看看副市长的

黄杰副市长OA.png


公安局管理员OA.jpg


另外一台内网服务器(日常运维服务器)

内网221服务器.jpg


浏览器记录找到网络监控

网络摄像头.png


漏洞证明:

看一封邮件 怎么说的

最新关于邮件系统.png


修复方案:

版权声明:转载请注明来源 diguoji@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:16

确认时间:2015-03-02 16:23

厂商回复:

CNVD确认并复现所述漏洞情况,已经转由CNCERT下发给安徽分中心,由安徽分中心后续协调网站管理单位处置。

最新状态:

暂无


漏洞评价:

评论

  1. 2015-02-25 12:13 | 浅蓝 ( 普通白帽子 | Rank:274 漏洞数:109 | 爱安全:www.ixsec.orgXsec社区:zone.ixse...)

    前排

  2. 2015-02-25 12:19 | 天地不仁 以万物为刍狗 ( 普通白帽子 | Rank:977 漏洞数:264 | 天地本不仁 万物为刍狗)

    卧槽

  3. 2015-02-25 12:21 | Taro ( 普通白帽子 | Rank:178 漏洞数:48 | 走向最远的方向,哪怕前路迷茫;抱着最大的...)

    牛逼

  4. 2015-02-25 12:39 | 无心、 ( 实习白帽子 | Rank:71 漏洞数:20 | 你不是风儿,我也不是沙,再怎么缠绵也到不...)

    包括驻军单位武警单位 我艹。

  5. 2015-02-25 12:56 | xbuther ( 路人 | Rank:4 漏洞数:3 | 多多交流,一起进步。。。O(∩_∩)O~)

    开门 顺丰快递。。。