漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0127671
漏洞标题：四川某地工商系统出现Struts2漏洞+弱口令可导致内网各种弱口令机器（已有前人在挖流量矿石）
相关厂商：四川工商局
漏洞作者： DC3
提交时间：2015-07-19 15:12
修复时间：2015-09-07 05:20
公开时间：2015-09-07 05:20
漏洞类型：成功的入侵事件
危害等级：中
自评Rank：8
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-07-19： 细节已通知厂商并且等待厂商处理中
2015-07-24： 厂商已经确认，细节仅向厂商公开
2015-08-03： 细节向核心白帽子及相关领域专家公开
2015-08-13： 细节向普通白帽子公开
2015-08-23： 细节向实习白帽子公开
2015-09-07： 细节向公众公开
简要描述：
由最初发现漏洞的欣喜到最后的愤怒，管理的不作为就是对纳税人的蔑视，对社会的犯罪。
详细说明：
攀枝花市工商行政管理局
最初发现的str漏洞地址http://www.pzhaic.gov.cn:7010/bszn!detail.action
然后居然发现http://www.pzhaic.gov.cn:7010/console是weblogic，而且用weblogic/weblogic顺利登陆
ipconfig看了一下是内网，ping外网也能通
此时意外的发现可以直接远程连上www.pzhaic.gov.cn，但是建立用户却登陆不上，肯定是端口转发到另外一台机器了
此时用tasklist查看进程居然发现很多cmd.exe和ftp.exe，怀疑有人在抓鸡
query user看一下，果然有个gh0st$的账户登录过
为了不打草惊蛇，用pw7得到管理密码之后登录
得到的密码如下
administrator/l@12345678 典型弱口令
gh0st$/xxoo!.321
登录之后，没看到抓鸡的，但发现了流量矿石，感觉是只有小学生才干的出来的
含着泪帮他卸载了
用l@1234578登录www.pzhaic.gov.cn也成功了，对应内网172.27.168.25
数据库密码和用户名一样，但是玩不来ora数据库
另外发现了远程桌面有连接过192.168.100.23的记录，用这个密码也成功登陆
维护记录还停在2014年，真是年久失修
shell地址在http://www.pzhaic.gov.cn:7010/key/1.jsp 麻烦自己清理下
漏洞证明：
还有其他的弱口令机器，没有一一登录
172.27.168.30@administrator;l@12345678
172.27.168.36@administrator;l@12345678
172.27.168.27@administrator;l@12345678
172.27.168.25@administrator;l@12345678
172.27.168.26@administrator;l@12345678
172.27.168.21@administrator;l@12345678
172.27.180.173@administrator;l@12345678
172.27.168.32@administrator;l@12345678
172.27.162.35@administrator;123
172.27.168.31@administrator;l@12345678
172.27.168.60@administrator;123456
172.27.177.126@administrator;123
172.27.180.217@administrator;123456
172.27.177.116@administrator;1234abcd
修复方案：
弱口令！弱口令！弱口令！
3389端口不要对外
好歹装个杀毒吧
版权声明：转载请注明来源 DC3@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-07-24 05:18
厂商回复：
CNVD确认并复现所述情况,已经转由CNCERT下发给四川分中心,由其后续协调网站管理单位处置.按内网运行安全风险评分,rank 20
最新状态：
暂无