当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-046785

漏洞标题：阿里云某站一次不成功的Fuzzing

相关厂商：阿里巴巴

漏洞作者： felixk3y

提交时间：2013-12-23 11:18

修复时间：2014-02-06 11:19

公开时间：2014-02-06 11:19

漏洞类型：后台弱口令

危害等级：低

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-12-23： 细节已通知厂商并且等待厂商处理中
2013-12-23： 厂商已经确认，细节仅向厂商公开
2014-01-02： 细节向核心白帽子及相关领域专家公开
2014-01-12： 细节向普通白帽子公开
2014-01-22： 细节向实习白帽子公开
2014-02-06： 细节向公众公开

简要描述：

为什么说不成功呢? 因为只成功Fuzzing到RDS产品研发团队成员的密码，但wp-admin进行了权限限制,SO...只能是一次不成功的Fuzzing...
Question: 有什么方法可以突破吗?

详细说明：

wordpress blog

http://rds.blog.alibaba-inc.com/


起因：
在看雪上看见阿里巴巴招聘信息,其中有一个邮箱：ke.lingk@alibaba-inc.com
丢Google site:alibaba-inc.com blog

1.jpg


想到前段时间学习的Fuzzing技术... 今天又来玩一盘.
#1 列user

D:\py>wp-user.py -u http://rds.blog.alibaba-inc.com -p /
----------------------------------------------
* Checking user...
* Target : http://rds.blog.alibaba-inc.com/
----------------------------------------------
admin
xuancan
mq44944
steven135904
logzgh
elbert.chenh
howard
Find Over...


#2 生成Fuzzing的password
按照猪猪侠生成密码的规则生成Fuzzing密码表：
我这里再贴下规则：

%username% = 用户名
%domain% = 公司域名
%username%%domain%
%username%1
%username%12
%username%123
%username%1234
%username%12345
%username%123456
%username%@123
%username%@123.com
%username%@163
%username%@163.com
%username%163
%username%8
%username%88
%username%888
%username%999
%username%666
%username%2008
%username%2009
%username%2010
%username%2011
%username%2012
%username%2013
%username%@2008
%username%@2009
%username%@2010
%username%@2011
%username%@2012
%username%@2013
%username%!@#


加上top50的密码表 Fuzzing

漏洞证明：

#3 Burpsuite Fuzzing...
成功Fuzzing到steven135904同学的密码：123456

2.jpg


#3 result..
url后面加上 wp-admin 禁止了..

3.jpg


只能前台:

4.jpg


好了,就到这里了...

修复方案：

建议还是更改下密码吧,这种危害企业信息安全的不良习惯必须要纠正,必须将其扼杀在萌芽阶段！！！

版权声明：转载请注明来源 felixk3y@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：6

确认时间：2013-12-23 15:11

厂商回复：

感谢你对我们的关注与支持，该问题我们正在修复。

最新状态：

暂无