漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-07572
漏洞标题：安徽省农委：一个测试账号引发的血案
相关厂商：安徽省农委
漏洞作者： 楚无伤
提交时间：2012-05-27 15:26
修复时间：2012-07-11 15:27
公开时间：2012-07-11 15:27
漏洞类型：后台弱口令
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-05-27： 细节已通知厂商并且等待厂商处理中
2012-05-29： 厂商已经确认，细节仅向厂商公开
2012-06-08： 细节向核心白帽子及相关领域专家公开
2012-06-18： 细节向普通白帽子公开
2012-06-28： 细节向实习白帽子公开
2012-07-11： 细节向公众公开
简要描述：
农业局办公系统存在一个测试账号，由此进入，并发现存在上传漏洞，由此进入服务器。
服务器上存在N多业务站点，均可通过查看配置文件一一进入。数据库中包含大量个人信息，甚至身份证的扫描件，资金补贴等等信息。
详细说明：
1、http://oa.ahzzyw.com存在测试账号，用户名test，密码test。
2、进入后在撰写邮件时，发现使用了FCK，并可上传木马。
3、发现服务器上有N多网站，通过web.config可一一连接数据库进入。
4、数据库有大量敏感信息，例如账号密码（大部分未加密）、身份证、资金补贴、往来邮件等等。
5、最后还是值得表扬一下，数据库进行了降权，账号权限都进行了较为严格的划分控制，虽然仍然不能抵挡，但至少增加了很多障碍。
漏洞证明：
修复方案：
1、已发现个别站点之前有黑阔先行进入，应及时清理。
2、多个系统存在测试账号和弱口令，清理。
3、对上传的控制在客户端、服务端都应加强，尤其是FCK这种问题较多的程序。
4、对系统内的写、执行权限严格控制。
5、涉及用户密码的数据库信息应加密。
版权声明：转载请注明来源 楚无伤@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：18
确认时间：2012-05-29 16:07
厂商回复：
CNVD确认并复现所述部分情况(确认了重要的web.config),转由CNCERT安徽分中心协调涉事单位处置。
对漏洞评分如下：
CVSS：(AV:R/AC:L/Au:NR/C:C/A:P/I:C/B:N) score:10.00（最高10分，高危）
即：远程攻击、攻击难度低、不需要用户认证，对机密性、完整性构成完全影响，对可用性构成部分影响
技术难度系数：1.2 （这个案例用来教育政府部门最合适不过：安全由短板决定)
影响危害系数：1.6（严重，涉及政府部门OA系统，构成信息泄露风险）
CNVD综合评分：9.67*1.2*1.6=18.566
最新状态：
暂无