漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0207906
漏洞标题：某省图书馆网站运维设置不当/造成内网彻底沦陷/涉及多个数据库
相关厂商：某省图书馆
漏洞作者： 北风之神
提交时间：2016-05-12 19:40
修复时间：2016-06-30 12:20
公开时间：2016-06-30 12:20
漏洞类型：命令执行
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-05-12： 细节已通知厂商并且等待厂商处理中
2016-05-16： 厂商已经确认，细节仅向厂商公开
2016-05-26： 细节向核心白帽子及相关领域专家公开
2016-06-05： 细节向普通白帽子公开
2016-06-15： 细节向实习白帽子公开
2016-06-30： 细节向公众公开
简要描述：
某省图书馆WEB服务器设置不当，造成一台内网WEB服务器存在远程命令执行漏洞，可成功取得服务器控制权，且内网有近百台其他服务器，可成功进行内网渗透，涉及多个数据库及个人信息。
详细说明：
浙江省图书馆一台服务器配置有问题，在该台服务器上以前也发生过问题（http://**.**.**.**/bugs/wooyun-2010-086444），经过修复，虽然已有的漏修复了，但还存在其他问题。
上次的漏洞中网站http://**.**.**.**/的问题已经修复，但是该机器的8080端口也可以对外访问到，访问地址为http://**.**.**.**:8080/,网站框架为JBOSS框架，存在命令执行漏洞，且为管理员权限。
进去后发现该机器没有外网地址，内网地址为：**.**.**.**.
经过进一步渗透，已经成功取得机器控制权。
同时存在数据库：
经过内网扫描后，发现，该网段还存在其他84台机器：
这里列举部分如下：
同时，从该机器上抓下的管理员的帐号和密码为administrator:Zjlib2056,用该密码对其他机器进行测试时，又发现其他11台机器使用相同的密码，如下所示：
同时，在分析浙江省图书馆其他网站时发现有趣现象。
浙江省图书馆有一个网站为“浙江省公共图书馆资源服务门户”（http://**.**.**.**/home/zy_home.jsp）
在该网站的部分链接中，竟然发现了机器的真实内网地址：
这个机器已经成功控制，如下：
从（http://**.**.**.**/home/zy_home.jsp）这个网站上共发现多个内网机器的真实IP内网地址，如下：
下表为部分网站及其真实内网IP的对应：
由于时有限，目的单纯，渗透到此结束，但是已有条件已经非常好，渗透全部网络不是问题。
漏洞证明：
见“详细说明”
修复方案：
对网关设备的端口进行限制。删除无用网站。
版权声明：转载请注明来源 北风之神@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2016-05-16 12:14
厂商回复：
CNVD确认并复现所述漏洞情况，已经转由CNCERT下发给浙江分中心，由浙江分中心后续协调网站管理单位处置
最新状态：
暂无