当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0207906

漏洞标题:某省图书馆网站运维设置不当/造成内网彻底沦陷/涉及多个数据库

相关厂商:某省图书馆

漏洞作者: 北风之神

提交时间:2016-05-12 19:40

修复时间:2016-06-30 12:20

公开时间:2016-06-30 12:20

漏洞类型:命令执行

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-05-12: 细节已通知厂商并且等待厂商处理中
2016-05-16: 厂商已经确认,细节仅向厂商公开
2016-05-26: 细节向核心白帽子及相关领域专家公开
2016-06-05: 细节向普通白帽子公开
2016-06-15: 细节向实习白帽子公开
2016-06-30: 细节向公众公开

简要描述:

某省图书馆WEB服务器设置不当,造成一台内网WEB服务器存在远程命令执行漏洞,可成功取得服务器控制权,且内网有近百台其他服务器,可成功进行内网渗透,涉及多个数据库及个人信息。

详细说明:

浙江省图书馆一台服务器配置有问题,在该台服务器上以前也发生过问题(http://**.**.**.**/bugs/wooyun-2010-086444),经过修复,虽然已有的漏修复了,但还存在其他问题。
上次的漏洞中网站http://**.**.**.**/的问题已经修复,但是该机器的8080端口也可以对外访问到,访问地址为http://**.**.**.**:8080/,网站框架为JBOSS框架,存在命令执行漏洞,且为管理员权限。

漏洞.png


进去后发现该机器没有外网地址,内网地址为:**.**.**.**.
经过进一步渗透,已经成功取得机器控制权。

249.png


同时存在数据库:

caidao_249.png


经过内网扫描后,发现,该网段还存在其他84台机器:
这里列举部分如下:

同网段部分机器.png


同时,从该机器上抓下的管理员的帐号和密码为administrator:Zjlib2056,用该密码对其他机器进行测试时,又发现其他11台机器使用相同的密码,如下所示:

同密码机器.png


同时,在分析浙江省图书馆其他网站时发现有趣现象。
浙江省图书馆有一个网站为“浙江省公共图书馆资源服务门户”(http://**.**.**.**/home/zy_home.jsp)
在该网站的部分链接中,竟然发现了机器的真实内网地址:

国研网.png


这个机器已经成功控制,如下:

145.png

145-1.png

145-2.png


从(http://**.**.**.**/home/zy_home.jsp)这个网站上共发现多个内网机器的真实IP内网地址,如下:

145-3.png


下表为部分网站及其真实内网IP的对应:

ip.png


由于时有限,目的单纯,渗透到此结束,但是已有条件已经非常好,渗透全部网络不是问题。

漏洞证明:

见“详细说明”

修复方案:

对网关设备的端口进行限制。删除无用网站。

版权声明:转载请注明来源 北风之神@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:11

确认时间:2016-05-16 12:14

厂商回复:

CNVD确认并复现所述漏洞情况,已经转由CNCERT下发给浙江分中心,由浙江分中心后续协调网站管理单位处置

最新状态:

暂无


漏洞评价:

评价