四川某地工商系统出现Struts2漏洞+弱口令可导致内网各种弱口令机器(已有前人在挖流量矿石)

漏洞概要

缺陷编号:WooYun-2015-0127671

漏洞标题:四川某地工商系统出现Struts2漏洞+弱口令可导致内网各种弱口令机器(已有前人在挖流量矿石)

相关厂商:四川工商局

漏洞作者:DC3

提交时间:2015-07-21 15:12

公开时间:2015-09-07 05:20

漏洞类型:成功的入侵事件

危害等级:中

自评Rank:8

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2015-07-21: 细节已通知厂商并且等待厂商处理中
2015-07-24: 厂商已经确认,细节仅向厂商公开
2015-08-03: 细节向核心白帽子及相关领域专家公开
2015-08-13: 细节向普通白帽子公开
2015-08-23: 细节向实习白帽子公开
2015-09-07: 细节向公众公开

简要描述:

由最初发现漏洞的欣喜到最后的愤怒,管理的不作为就是对纳税人的蔑视,对社会的犯罪。

详细说明:

攀枝花市工商行政管理局最初发现的str漏洞地址http://**.**.**.**:7010/bszn!detail.action

然后居然发现http://**.**.**.**:7010/console是weblogic,而且用weblogic/weblogic顺利登陆

ipconfig看了一下是内网,ping外网也能通

此时意外的发现可以直接远程连上**.**.**.**,但是建立用户却登陆不上,肯定是端口转发到另外一台机器了此时用tasklist查看进程居然发现很多cmd.exe和ftp.exe,怀疑有人在抓鸡

query user看一下,果然有个gh0st$的账户登录过

为了不打草惊蛇,用pw7得到管理密码之后登录

得到的密码如下[email protected] 典型弱口令gh0st$/xxoo!.321登录之后,没看到抓鸡的,但发现了流量矿石,感觉是只有小学生才干的出来的

含着泪帮他卸载了

[email protected]**.**.**.**也成功了,对应内网**.**.**.**

数据库密码和用户名一样,但是玩不来ora数据库

另外发现了远程桌面有连接过**.**.**.**的记录,用这个密码也成功登陆

维护记录还停在2014年,真是年久失修shell地址在http://**.**.**.**:7010/key/1.jsp 麻烦自己清理下

漏洞证明:

还有其他的弱口令机器,没有一一登录[email protected];[email protected][email protected];[email protected][email protected];[email protected][email protected];[email protected][email protected];[email protected][email protected];[email protected][email protected];[email protected][email protected];[email protected][email protected];123[email protected];[email protected][email protected];123456[email protected];123[email protected];123456[email protected];1234abcd

修复方案:

弱口令!弱口令!弱口令!3389端口不要对外好歹装个杀毒吧

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2015-07-2405:18

厂商回复:

CNVD确认并复现所述情况,已经转由CNCERT下发给四川分中心,由其后续协调网站管理单位处置.按内网运行安全风险评分,rank 20

最新状态:

暂无

评价

  1. 2010-01-01 00:00 鬼见愁 白帽子 | Rank:10 漏洞数:1)

    挖流量矿石.每天能挖多少G?