漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-083355
漏洞标题：安朗宽带认证计费解决方案缺陷可踢指定IP用户下线
相关厂商：安朗
漏洞作者： Knight
提交时间：2014-11-15 11:34
修复时间：2015-02-13 11:36
公开时间：2015-02-13 11:36
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-11-15： 细节已通知厂商并且等待厂商处理中
2014-11-20： 厂商已经确认，细节仅向厂商公开
2014-11-23： 细节向第三方安全合作伙伴开放
2015-01-14： 细节向核心白帽子及相关领域专家公开
2015-01-24： 细节向普通白帽子公开
2015-02-03： 细节向实习白帽子公开
2015-02-13： 细节向公众公开
简要描述：
整个网内的所有用户，任何网段，任何客户端（网页版，软件版）都受影响。
受害者不会收到任何提示。
可让全内网断网，独享光纤。
影响用户包括但不止：http://www.amnoon.com/html/list_49.html
详细说明：
安朗宽带认证计费解决方案中有个网页版的认证方法。
具体来说就是用户登录前打开的任何外网网页都将被劫持到网页版的认证地址。
url类似于
http://192.168.*.*/portalReceiveAction.do?wlanuserip=用户的IP&wlanacname=这个可以自定义
这个url基本上都会被改得面目全非，就不截图了。
如何确定是安朗？
打开http://192.168.*.*登录你的账号密码。
网页版客户端下线请求如图：
wlanuserip字段即为当前电脑IP，由于网站后台并未对wlanuserip进行验证，当攻击目标IP所在网段wlanacname与本机相同时，通过修改该字段为攻击目标IP即可伪造其下线请求导致其下线。当攻击目标IP所在网段wlanuserip与本机不相同时，需要知道目标IP所在网段在内网的wlanacname（需要到与目标IP所在网段寻找），访问http://192.168.*.*/portalReceiveAction.do?wlanuserip=任意IP&wlanacname=目标IP所在网段的wlanacname，页面内会有wlanacip字段，相应修改wlanacname和wlanacip便可相应地伪造下线请求。
发送下线请求后服务器回应如图：
注：wlanacname和wlanacip出错时服务器仍会显示请求成功，但此时目标IP不会受到影响，一个内网内一般有一两个wlanacname，wlanacname与wlanacip一一对应。
成功伪造下线请求使目标IP下线后目标IP不会收到任何提示（软件版客户端也一样没有任何提示），只是突然间访问的页面就被服务器劫持到网页认证，服务器对用户下线频率没有限制，可以不断伪造下线请求。
通过伪造整个内网活动IP的下线请求即可让全内网断网，独享光纤。
漏洞证明：
提供测试代码有点鸡肋，毕竟大家都有burp。
但说不定就有人给wb了呢？
修复方案：
后端验证
版权声明：转载请注明来源 Knight@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-11-20 08:17
厂商回复：
cnvd未直接复现所述情况，由于未建立与设备厂商的直接处置渠道，待认领。
最新状态：
暂无