漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-071127
漏洞标题：某高校内网多台服务器权限、大量用户数据泄露隐患
相关厂商：某大学
漏洞作者： iaalm
提交时间：2014-08-05 17:11
修复时间：2014-09-19 17:12
公开时间：2014-09-19 17:12
漏洞类型：成功的入侵事件
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-05： 细节已通知厂商并且等待厂商处理中
2014-08-08： 厂商已经确认，细节仅向厂商公开
2014-08-18： 细节向核心白帽子及相关领域专家公开
2014-08-28： 细节向普通白帽子公开
2014-09-07： 细节向实习白帽子公开
2014-09-19： 细节向公众公开
简要描述：
一台服务器MySQL弱密码，导致多个系统被破解，大量用户数据泄露
详细说明：
一台服务器（xk2.***.edu.cn）mysql的root用户密码为空，且允许远程登陆，登录之后没什么有用的数据，看起来是一个实验性或者临时性的站点，当时通过UDF提权（这个网上遍地都是），可以获得操作系统权限。
系统中有不少ssh和rdp自动保存的密码，虽然都有编码，但是网上都可以找到方法破解，因而获得了大约5台服务器和交换机的登录权限，大多是root
其中有三台是学校网关的服务器，通过看网关系统的源代码，可以获得数据库的连接字符串
主动连接数据库，发现其中保存了全校网关系统的用户名，密码，余额，身份证号等信息，其中密码是明文和MD5密文都保存的（不知道都保存时什么心态。。。），而且没有加salt，因为学校使用的是统一身份认证，这套用户名密码可以进很多系统，包括邮件系统。
能进入邮箱能做的事情就太多了，随便看一些老师、领导的邮件，就可以获取到各种重要的信息。
这些重要信息包括，学校一些中重要的设备的登录用户名密码，网络拓扑图等。
漏洞证明：
数据库连接后的数据，很多数据不是网关系统必须的，都集中存放在这里
一些
网络拓扑图
想想看全校数万学生加教职工，而且很多老师帮公用的就是这个邮箱，想想看能泄露的信息由多么多！
修复方案：
首先是密码密文存放，最好加salt
各个应用系统之间尽量分开，在同一台服务器上，也应该使用不同的身份认证，不要多个系统共用一套表
虽然远程的数据库连接不可避免，但是应当对接入的Ip进行严格的过滤
从入侵后的成果来看，学校里个关键系统的密码都还是挺强的，但是，很多人直接把密码存放在了电脑或者邮箱里，或者保存在一些非常容易被破解的地方（比如rdp文件），这就产生了非常严重的漏洞
需要一些入侵检测的机制
最重要的一句话，明文或弱编码保存密码害死人阿
版权声明：转载请注明来源 iaalm@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2014-08-08 10:18
厂商回复：
正在通知相关学校处理
最新状态：
暂无