当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-090877

漏洞标题：中国农业几大站全Getshell含多处数据库及其它信息之我是农民工

相关厂商：中华全国供销合作总社

漏洞作者： 黄口小儿

提交时间：2015-01-12 14:45

修复时间：2015-02-26 14:46

公开时间：2015-02-26 14:46

漏洞类型：命令执行

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-01-12： 细节已通知厂商并且等待厂商处理中
2015-01-16： 厂商已经确认，细节仅向厂商公开
2015-01-26： 细节向核心白帽子及相关领域专家公开
2015-02-05： 细节向普通白帽子公开
2015-02-15： 细节向实习白帽子公开
2015-02-26： 细节向公众公开

简要描述：

中国农业几大站全Getshell含多处数据库及其它信息之我是农民工 ，网站没有乱动，只是尽可能的写详细，写出涉及的站点以及数据库有哪些，每个数据库可能包含上千万用户信息以及资料。希望尽快修复。有些站点长达一二十年历史！能发现此洞，并及时提交也是我的荣幸。

详细说明：

0x01 http://www.sino-nz.com
中国农资传媒网 引起漏洞危机整个服务器其余站点以及数据库。
此网站含Struts2安全漏洞，导致直接Getshell.

1.png


涉及站点如下包括但不限于，（下面没有写完，具体在服务器上自己看。）

sino-nz- 中国农资传媒网
9年4个月17天（创建于2005年8月23日）		域名：http://www.sino-nz.com/
bmc   - 北京商业管理干部学院 		
- 8年10个月7天（创建于2006年3月2日）  		域名：http://www.bjbmc.co
cefa  - 中国食用菌协会网站   		
- 8年7个月16天（创建于2006年5月24日） 		域名：http://www.cefa.org.cn
chaxun- 中国农产品合作社品牌数据库查询系统
17年2个月16天（创建于1997年10月24日）		域名：http://cx.chinacoop.gov.cn/
coopgroup-中国供销基团
4年8个月28天（创建于2010年4月12日）		域名：http://www.ccoopg.com/
上农网-专业的农资产业现货交易平台 
5年8个月30天（创建于2009年4月10日）             域名：http://city-base.net/


涉及站点10+，详细在服务器里面自己看。

漏洞证明：

0x02 所包含数据库信息如下：

对应站点目录-jubao
 <add key="DbHelperConnectionString" value="Data Source=(local);Initial Catalog=ReportDB;Persist Security Info=True;User ID=sa;Password=sa"/>


DbHelperConnectionString" value="Data Source=mssql.sql92.cdncenter.net;Initial Catalog=sq_reportdb;Persist Security Info=True;User ID=jubao;Password=jubaopwd


数据库涉及多与少，有目共睹，这里不一列举出为防止日后漏洞公开导致其余影响。
具体管理员自己WEB-INF\classes\等等，可以查看以及修改。
整个服务器多个大型站点包含数据、包含用户上传文件、农资文件、举报数据库、用户信息、农业信息的多少，管理员也能看出，影响之大，自己可以估量！
其中websites涉及网站以及部分网站的源程序（文件）完全可以下载利用等。

修复方案：

站点作为中国较大农业及相关站点，数据量之大，危害之大。有目共睹。关于数据库信息等，我个人也没乱动。希望尽快修复漏洞，以及重新划分配置整个服务器。该修改的，该补丁的希望尽快处理。有些站点长达一二十年历史！能发现此洞，并及时提交也是我的荣幸。

作为一个白帽子这是我应该做的、希望给我公平的Rank，WB~

版权声明：转载请注明来源 黄口小儿@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2015-01-16 13:34

厂商回复：

CNVD确认所述漏洞情况，暂未建立与网站管理单位的直接处置渠道，待认领。

最新状态：

暂无