漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-069688
漏洞标题：东软UniEAP某jige通用漏洞打包
相关厂商：东软集团
漏洞作者： 路人甲
提交时间：2014-07-25 20:10
修复时间：2014-10-23 20:12
公开时间：2014-10-23 20:12
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-25： 细节已通知厂商并且等待厂商处理中
2014-07-29： 厂商已经确认，细节仅向厂商公开
2014-08-01： 细节向第三方安全合作伙伴开放
2014-09-22： 细节向核心白帽子及相关领域专家公开
2014-10-02： 细节向普通白帽子公开
2014-10-12： 细节向实习白帽子公开
2014-10-23： 细节向公众公开
简要描述：
本来想分开提交了，可是又有关联性，所以就一起提交啦！
如果审核人员认为案例不够，请帮忙修改为不是通用漏洞。
详细说明：
以东软UniEAP为业务框架开发的如下系统：
inurl:siweb/login.do 估计还有一部分搜索不到，谷歌不能用啦，百度不权威啊！
某市失业保险个人网上查询系统
http://218.9.***.***:8082/siweb/
某市劳动保障书面审查网上申报和诚信等级查询系统
http://60.219.***.***:7001/siweb
某市机关事业养老保险单位网上申报与查询系统
http://218.9.***.***:8081/siweb
某市医疗工伤生育保险单位网上申报系统
某市人力资源和社会保障局网上申报系统
http://111.75.***.***:8001/siweb
某区社会保险事业局网上查询系统
http://***.***.gov.cn:8001/siweb/
等等
这个系统较为复杂，如果审核人员不好全部复现就直接丢给东软吧，他们的系统他们自己最了解啦！
存在一些通用的漏洞和问题，如下：
问题一.存在通用的管理员账户
问题二：越权，普通用户权限登录系统后可以读取网站目录下任意文件，普通用户即可访问报表生成组件
问题三：SQL注入
问题四：验证码没有强制刷新
漏洞证明：
本次证明演示系统为http://111.75.***.***:8001/siweb
问题一
证明：
admin/1
se_admin/1
lbn/1
yinkun/1
查看管理员处显示有三个管理员，并不显示admin用户，但是测试中无意发现这个用户就是权限最大的用户。
测试中发现吉林省医保和南昌市人力资源和社会保障局网上申报系统没有修改admin用户密码，为初始密码1.其他系统均为修改其余默认账户和密码。
问题二
证明：
由于许久之前测试的案例并不是本次证明使用的案例，所以就不提供普通用户账户啦，如果审核人员需要，可以管理员修改或者添加普通用户。
问题三
证明：
成功的利用方法是普通用户登录系统后，手动输入地址访问报表组件，进行SQL注入，即可获取数据库内所有信息。
利用burpsuite抓取“单位变更业务列表打印”功能数据包，以普通用户权限即可注入。
问题四
证明：
这个不证明了，利用方法是发送post请求时删掉里面关于验证码的数据即可进行暴力破解。
关于如何登陆使用证书认证的系统方法。
burpsuite代理
打开
http://111.75.***.***:8001/siweb/login.do?method=begin
点击证书登陆
然后burpsuite修改post数据，将用户名和密码admin/1添加进去即可成功登录。
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2014-07-29 14:00
厂商回复：
感谢作者提供的漏洞信息。
我们收到漏洞的第一时间，与相关的两个事业部进行了沟通，并紧急成立了事件调查处理小组。
1.对作者提供的信息进行问题确认，并由开发部门给出解决方案，制定修复计划。
2.对系统后台进行监控、检查和审计。
3.检查其它使用该平台的网站进行问题修复。
以上提到的几个问题，原因如下：
1.由于我们员工在实施现场未给用户强调删除缺省帐户的重要性。
2.有些项目是使用的较老的UniEAP平台未进行升级。
3.开发过程中使用UniEAP框架不当问题，而测试人员又未发现。
最新状态：
暂无