2016-01-18： 细节已通知厂商并且等待厂商处理中 2016-01-20： 厂商已经确认，细节仅向厂商公开 2016-01-30： 细节向核心白帽子及相关领域专家公开 2016-02-09： 细节向普通白帽子公开 2016-02-19： 细节向实习白帽子公开 2016-03-04： 细节向公众公开
RT
地址**.**.**.**:7001/存在“Java 反序列化”漏洞
直接上传木马到服务器中
whoamikjxxcj-new\administratornet user\\KJXXCJ-NEW 的用户帐户-------------------------------------------------------------------------------Administrator Guest 命令成功完成。net share共享名 资源 注解-------------------------------------------------------------------------------C$ C:\ 默认共享 D$ D:\ 默认共享 IPC$ 远程 IPC ADMIN$ C:\Windows 远程管理 命令成功完成。net view服务器名称 注解-------------------------------------------------------------------------------\\JQQYKBDB \\JQQYKBWEB \\JXFWEB-NEW \\KJBAK \\KJDB1 \\KJDB2 \\KJWEB1 \\KJXXCJ-NEW \\LENOVO-8TIP4B61 \\LENOVO-GZXHG3Q1 \\NYKFB \\QSMANAGER-191 \\RACKSTATION \\TRENDSERVER \\UNICOMSMS \\WANVCENTER \\WIN-BMJ6452GPAE \\WIN-JAU77JEK513 \\WINTEMPL-9B35B9 命令成功完成。net start已经启动以下 Windows 服务: Application Experience Application Management Background Intelligent Transfer Service Base Filtering Engine Certificate Propagation COM+ Event System COM+ System Application Cryptographic Services DCOM Server Process Launcher Desktop Window Manager Session Manager DHCP Client Diagnostic Policy Service Distributed Link Tracking Client Distributed Transaction Coordinator DNS Client Function Discovery Provider Host Group Policy Client IKE and AuthIP IPsec Keying Modules IP Helper IPsec Policy Agent Network Connections Network List Service Network Location Awareness Network Store Interface Service OfficeScan NT Listener OfficeScan NT RealTime Scan OracleOraDb10g_home1iSQL*Plus OracleOraDb10g_home1TNSListener OracleServiceORCL Plug and Play Power Print Spooler Protected Storage Remote Desktop Configuration Remote Desktop Services Remote Desktop Services UserMode Port Redirector Remote Procedure Call (RPC) Remote Registry RPC Endpoint Mapper Secondary Logon Security Accounts Manager Server Shell Hardware Detection Software Protection SPP Notification Service System Event Notification Service Task Scheduler TCP/IP NetBIOS Helper User Profile Service VMware Tools Service Windows Event Log Windows Firewall Windows Font Cache Service Windows Management Instrumentation Windows Modules Installer Windows Remote Management (WS-Management) Windows Time Windows Update Workstation命令成功完成。netstat -ano活动连接 协议 本地地址 外部地址 状态 PID TCP **.**.**.**:135 **.**.**.**:0 LISTENING 732 TCP **.**.**.**:445 **.**.**.**:0 LISTENING 4 TCP **.**.**.**:1521 **.**.**.**:0 LISTENING 2392 TCP **.**.**.**:5560 **.**.**.**:0 LISTENING 2668 TCP **.**.**.**:5580 **.**.**.**:0 LISTENING 2668 TCP **.**.**.**:8009 **.**.**.**:0 LISTENING 45856 TCP **.**.**.**:8080 **.**.**.**:0 LISTENING 45856 TCP **.**.**.**:12345 **.**.**.**:0 LISTENING 11312 TCP **.**.**.**:47001 **.**.**.**:0 LISTENING 4 TCP **.**.**.**:49152 **.**.**.**:0 LISTENING 420 TCP **.**.**.**:49153 **.**.**.**:0 LISTENING 540 TCP **.**.**.**:49154 **.**.**.**:0 LISTENING 940 TCP **.**.**.**:49155 **.**.**.**:0 LISTENING 920 TCP **.**.**.**:49156 **.**.**.**:0 LISTENING 524 TCP **.**.**.**:49157 **.**.**.**:0 LISTENING 1888 TCP **.**.**.**:57653 **.**.**.**:0 LISTENING 352 TCP **.**.**.**:7001 **.**.**.**:0 LISTENING 193032 TCP **.**.**.**:8005 **.**.**.**:0 LISTENING 45856 TCP **.**.**.**:17000 **.**.**.**:0 LISTENING 8052 TCP **.**.**.**:17000 **.**.**.**:53358 ESTABLISHED 8052 TCP **.**.**.**:50725 **.**.**.**:0 LISTENING 2392 TCP **.**.**.**:53358 **.**.**.**:17000 ESTABLISHED 8052 TCP **.**.**.**:54236 **.**.**.**:54237 ESTABLISHED 44620 TCP **.**.**.**:54237 **.**.**.**:54236 ESTABLISHED 44620 TCP **.**.**.**:139 **.**.**.**:0 LISTENING 4 TCP **.**.**.**:1521 **.**.**.**:51490 ESTABLISHED 2392 TCP **.**.**.**:1521 **.**.**.**:51491 ESTABLISHED 2392 TCP **.**.**.**:1521 **.**.**.**:51494 ESTABLISHED 2392 TCP **.**.**.**:1521 **.**.**.**:57654 ESTABLISHED 2392 TCP **.**.**.**:7001 **.**.**.**:0 LISTENING 193032 TCP **.**.**.**:7001 **.**.**.**:4698 FIN_WAIT_2 193032 TCP **.**.**.**:7001 **.**.**.**:4703 FIN_WAIT_2 193032 TCP **.**.**.**:7001 **.**.**.**:4704 FIN_WAIT_2 193032 TCP **.**.**.**:7001 **.**.**.**:50135 TIME_WAIT 0 TCP **.**.**.**:7001 **.**.**.**:39050 ESTABLISHED 193032 TCP **.**.**.**:7001 **.**.**.**:3154 ESTABLISHED 193032 TCP **.**.**.**:7001 **.**.**.**:3732 ESTABLISHED 193032 TCP **.**.**.**:7001 **.**.**.**:3903 CLOSE_WAIT 193032 TCP **.**.**.**:7001 **.**.**.**:3907 ESTABLISHED 193032 TCP **.**.**.**:7001 **.**.**.**:4171 ESTABLISHED 193032 TCP **.**.**.**:7001 **.**.**.**:4204 TIME_WAIT 0 TCP **.**.**.**:7001 **.**.**.**:4232 ESTABLISHED 193032 TCP **.**.**.**:20000 **.**.**.**:0 LISTENING 8052 TCP **.**.**.**:20000 **.**.**.**:40249 ESTABLISHED 8052 TCP **.**.**.**:20000 **.**.**.**:40250 ESTABLISHED 8052 TCP **.**.**.**:20000 **.**.**.**:40251 ESTABLISHED 8052 TCP **.**.**.**:51488 **.**.**.**:16002 ESTABLISHED 8052 TCP **.**.**.**:51489 **.**.**.**:16002 ESTABLISHED 8052 TCP **.**.**.**:51490 **.**.**.**:1521 ESTABLISHED 8052 TCP **.**.**.**:51491 **.**.**.**:1521 ESTABLISHED 8052 TCP **.**.**.**:51493 **.**.**.**:16002 ESTABLISHED 8052 TCP **.**.**.**:51494 **.**.**.**:1521 ESTABLISHED 8052 TCP **.**.**.**:57654 **.**.**.**:1521 ESTABLISHED 352 TCP **.**.**.**:62120 **.**.**.**:80 CLOSE_WAIT 2264 TCP **.**.**.**:62479 **.**.**.**:80 CLOSE_WAIT 5540 TCP **.**.**.**:62484 **.**.**.**:80 CLOSE_WAIT 44620 TCP **.**.**.**:63011 **.**.**.**:5287 ESTABLISHED 44620 TCP **.**.**.**:63133 **.**.**.**:5287 ESTABLISHED 44620 TCP **.**.**.**:63155 **.**.**.**:139 TIME_WAIT 0 TCP [::]:135 [::]:0 LISTENING 732 TCP [::]:445 [::]:0 LISTENING 4 TCP [::]:12345 [::]:0 LISTENING 11312 TCP [::]:47001 [::]:0 LISTENING 4 TCP [::]:49152 [::]:0 LISTENING 420 TCP [::]:49153 [::]:0 LISTENING 540 TCP [::]:49154 [::]:0 LISTENING 940 TCP [::]:49155 [::]:0 LISTENING 920 TCP [::]:49156 [::]:0 LISTENING 524 TCP [::]:49157 [::]:0 LISTENING 1888 TCP [::1]:7001 [::]:0 LISTENING 193032 TCP [2001:0:3d83:d0d3:2823:f6:53ef:e87a]:7001 [::]:0 LISTENING 193032 TCP [fe80::5efe:**.**.**.**%13]:7001 [::]:0 LISTENING 193032 TCP [fe80::14cf:aba1:27b5:6a9%11]:7001 [::]:0 LISTENING 193032 TCP [fe80::2823:f6:53ef:e87a%12]:7001 [::]:0 LISTENING 193032 UDP **.**.**.**:123 *:* 944 UDP **.**.**.**:500 *:* 920 UDP **.**.**.**:4500 *:* 920 UDP **.**.**.**:5355 *:* 976 UDP **.**.**.**:7273 *:* 44620 UDP **.**.**.**:51673 *:* 8052 UDP **.**.**.**:63117 *:* 193032 UDP **.**.**.**:57683 *:* 8040 UDP **.**.**.**:137 *:* 4 UDP **.**.**.**:138 *:* 4 UDP [::]:123 *:* 944 UDP [::]:500 *:* 920 UDP [::]:4500 *:* 920 UDP [::]:5355 *:* 976 UDP [::]:51673 *:* 8052 UDP [::]:63117 *:* 193032tasklist /svc映像名称 PID 服务 ========================= ======== ============================================System Idle Process 0 暂缺 System 4 暂缺 smss.exe 284 暂缺 csrss.exe 380 暂缺 wininit.exe 420 暂缺 services.exe 524 暂缺 lsass.exe 540 ProtectedStorage, SamSs lsm.exe 548 暂缺 svchost.exe 656 DcomLaunch, PlugPlay, Power svchost.exe 732 RpcEptMapper, RpcSs svchost.exe 816 TermService svchost.exe 876 Netman, TrkWks, UmRdpService, UxSms svchost.exe 920 AeLookupSvc, AppMgmt, BITS, CertPropSvc, gpsvc, IKEEXT, iphlpsvc, LanmanServer, ProfSvc, Schedule, seclogon, SENS, SessionEnv, ShellHWDetection, Winmgmt, wuauserv svchost.exe 944 EventSystem, fdPHost, FontCache, netprofm, nsi, sppuinotify, W32Time svchost.exe 976 CryptSvc, Dnscache, LanmanWorkstation, NlaSvc, WinRM sppsvc.exe 316 sppsvc svchost.exe 940 Dhcp, eventlog, lmhosts svchost.exe 1164 BFE, DPS, MpsSvc spoolsv.exe 1256 Spooler svchost.exe 1300 RemoteRegistry vmtoolsd.exe 1376 VMTools svchost.exe 1888 PolicyAgent dllhost.exe 2004 COMSysApp msdtc.exe 1132 MSDTC TrustedInstaller.exe 2660 TrustedInstaller TNSLSNR.EXE 2392 OracleOraDb10g_home1TNSListener oracle.exe 352 OracleServiceORCL isqlplussvc.exe 4528 OracleOraDb10g_home1iSQL*Plus java.exe 2668 暂缺 conhost.exe 4088 暂缺 csrss.exe 44068 暂缺 winlogon.exe 45628 暂缺 taskhost.exe 43116 暂缺 dwm.exe 46056 暂缺 explorer.exe 5820 暂缺 VMwareTray.exe 45080 暂缺 vmtoolsd.exe 3424 暂缺 jusched.exe 5540 暂缺 baiduyunguanjia.exe 44620 暂缺 wuauclt.exe 44344 暂缺 java.exe 45856 暂缺 conhost.exe 43848 暂缺 iexplore.exe 7288 暂缺 iexplore.exe 8040 暂缺 Ntrtscan.exe 19640 ntrtscan TmListen.exe 11312 tmlisten PccNTMon.exe 35504 暂缺 CNTAoSMgr.exe 40796 暂缺 conhost.exe 10780 暂缺 jucheck.exe 2264 暂缺 dbsynchronize.exe 8052 暂缺 cmd.exe 11200 暂缺 conhost.exe 12196 暂缺 sqlplus.exe 45184 暂缺 mmc.exe 72608 暂缺 mmc.exe 76948 暂缺 cmd.exe 190780 暂缺 conhost.exe 193404 暂缺 java.exe 193032 暂缺 findstr.exe 292976 暂缺 conhost.exe 293012 暂缺 findstr.exe 292556 暂缺 conhost.exe 293356 暂缺 findstr.exe 292560 暂缺 conhost.exe 292460 暂缺 tasklist.exe 292956 暂缺 conhost.exe 293380 暂缺 WmiPrvSE.exe 260324 暂缺 ipconfig /allWindows IP 配置 主机名 . . . . . . . . . . . . . : kjxxcj-new 主 DNS 后缀 . . . . . . . . . . . : 节点类型 . . . . . . . . . . . . : 混合 IP 路由已启用 . . . . . . . . . . : 否 WINS 代理已启用 . . . . . . . . . : 否以太网适配器 本地连接: 连接特定的 DNS 后缀 . . . . . . . : 描述. . . . . . . . . . . . . . . : Intel(R) PRO/1000 MT Network Connection 物理地址. . . . . . . . . . . . . : 00-50-56-A9-48-B9 DHCP 已启用 . . . . . . . . . . . : 否 自动配置已启用. . . . . . . . . . : 是 本地链接 IPv6 地址. . . . . . . . : fe80::14cf:aba1:27b5:6a9%11(首选) IPv4 地址 . . . . . . . . . . . . : **.**.**.**(首选) 子网掩码 . . . . . . . . . . . . : **.**.**.** 默认网关. . . . . . . . . . . . . : **.**.**.** DHCPv6 IAID . . . . . . . . . . . : 234901590 DHCPv6 客户端 DUID . . . . . . . : 00-01-00-01-1C-91-B3-EF-00-50-56-A9-48-B9 DNS 服务器 . . . . . . . . . . . : **.**.**.** **.**.**.** TCPIP 上的 NetBIOS . . . . . . . : 已启用隧道适配器 isatap.{A737F56D-B6D7-4AE5-8FD5-358483FAA75B}: 媒体状态 . . . . . . . . . . . . : 媒体已断开 连接特定的 DNS 后缀 . . . . . . . : 描述. . . . . . . . . . . . . . . : Microsoft ISATAP Adapter 物理地址. . . . . . . . . . . . . : 00-00-00-00-00-00-00-E0 DHCP 已启用 . . . . . . . . . . . : 否 自动配置已启用. . . . . . . . . . : 是隧道适配器 本地连接* 2: 连接特定的 DNS 后缀 . . . . . . . : 描述. . . . . . . . . . . . . . . : Teredo Tunneling Pseudo-Interface 物理地址. . . . . . . . . . . . . : 00-00-00-00-00-00-00-E0 DHCP 已启用 . . . . . . . . . . . : 否 自动配置已启用. . . . . . . . . . : 是 IPv6 地址 . . . . . . . . . . . . : 2001:0:3d83:d0d3:2823:f6:53ef:e87a(首选) 本地链接 IPv6 地址. . . . . . . . : fe80::2823:f6:53ef:e87a%12(首选) 默认网关. . . . . . . . . . . . . : :: TCPIP 上的 NetBIOS . . . . . . . : 已禁用systeminfo主机名: KJXXCJ-NEWOS 名称: Microsoft Windows Server 2008 R2 Enterprise OS 版本: 6.1.7601 Service Pack 1 Build 7601OS 制造商: Microsoft CorporationOS 配置: 独立服务器OS 构件类型: Multiprocessor Free注册的所有人: JXF注册的组织: JXF产品 ID: 00486-001-0001076-84249初始安装日期: 2015/3/11, 16:25:37系统启动时间: 2015/3/11, 16:47:53系统制造商: VMware, Inc.系统型号: VMware Virtual Platform系统类型: x64-based PC处理器: 安装了 2 个处理器。 [01]: Intel64 Family 6 Model 46 Stepping 6 GenuineIntel ~2261 Mhz [02]: Intel64 Family 6 Model 46 Stepping 6 GenuineIntel ~2261 MhzBIOS 版本: Phoenix Technologies LTD 6.00, 2012/7/9Windows 目录: C:\Windows系统目录: C:\Windows\system32启动设备: \Device\HarddiskVolume1系统区域设置: zh-cn;中文(中国)输入法区域设置: zh-cn;中文(中国)时区: (UTC+08:00)北京，重庆，香港特别行政区，乌鲁木齐物理内存总量: 8,191 MB可用的物理内存: 1,766 MB虚拟内存: 最大值: 16,381 MB虚拟内存: 可用: 5,137 MB虚拟内存: 使用中: 11,244 MB页面文件位置: C:\pagefile.sys域: WORKGROUP登录服务器: \\KJXXCJ-NEW修补程序: 安装了 196 个修补程序。 [01]: KB981391 [02]: KB981392 [03]: KB977236 [04]: KB981111 [05]: KB977238 [06]: KB2764913 [07]: KB2764916 [08]: KB2718695 [09]: KB2718695 [10]: KB977239 [11]: KB2670838 [12]: KB981390 [13]: KB2425227 [14]: KB2506014 [15]: KB2506212 [16]: KB2506928 [17]: KB2509553 [18]: KB2511455 [19]: KB2533552 [20]: KB2533623 [21]: KB2536275 [22]: KB2536276 [23]: KB2544893 [24]: KB2545698 [25]: KB2547666 [26]: KB2552343 [27]: KB2560656 [28]: KB2563227 [29]: KB2564958 [30]: KB2570947 [31]: KB2584146 [32]: KB2585542 [33]: KB2603229 [34]: KB2604115 [35]: KB2607047 [36]: KB2608658 [37]: KB2620704 [38]: KB2621440 [39]: KB2631813 [40]: KB2639308 [41]: KB2640148 [42]: KB2643719 [43]: KB2653956 [44]: KB2654428 [45]: KB2655992 [46]: KB2656356 [47]: KB2660075 [48]: KB2667402 [49]: KB2676562 [50]: KB2685811 [51]: KB2685813 [52]: KB2685939 [53]: KB2690533 [54]: KB2698365 [55]: KB2705219 [56]: KB2706045 [57]: KB2712808 [58]: KB2718704 [59]: KB2719857 [60]: KB2726535 [61]: KB2729094 [62]: KB2729452 [63]: KB2731771 [64]: KB2732059 [65]: KB2742599 [66]: KB2743555 [67]: KB2750841 [68]: KB2758857 [69]: KB2761217 [70]: KB2763523 [71]: KB2765809 [72]: KB2770660 [73]: KB2785220 [74]: KB2786081 [75]: KB2789645 [76]: KB2791765 [77]: KB2798162 [78]: KB2800095 [79]: KB2807986 [80]: KB2808679 [81]: KB2813347 [82]: KB2813430 [83]: KB2820331 [84]: KB2834140 [85]: KB2836943 [86]: KB2839894 [87]: KB2840149 [88]: KB2843630 [89]: KB2844286 [90]: KB2847311 [91]: KB2849470 [92]: KB2852386 [93]: KB2853952 [94]: KB2855844 [95]: KB2861855 [96]: KB2862152 [97]: KB2862330 [98]: KB2862335 [99]: KB2862966 [100]: KB2862973 [101]: KB2863240 [102]: KB2864058 [103]: KB2864202 [104]: KB2868038 [105]: KB2868116 [106]: KB2868626 [107]: KB2871997 [108]: KB2872339 [109]: KB2875783 [110]: KB2876284 [111]: KB2876331 [112]: KB2882822 [113]: KB2884256 [114]: KB2887069 [115]: KB2888049 [116]: KB2891804 [117]: KB2892074 [118]: KB2893294 [119]: KB2893519 [120]: KB2894844 [121]: KB2898857 [122]: KB2900986 [123]: KB2904266 [124]: KB2908783 [125]: KB2909210 [126]: KB2911501 [127]: KB2912390 [128]: KB2918614 [129]: KB2919469 [130]: KB2922229 [131]: KB2926765 [132]: KB2928562 [133]: KB2929437 [134]: KB2929733 [135]: KB2930275 [136]: KB2931356 [137]: KB2937610 [138]: KB2939576 [139]: KB2957189 [140]: KB2957503 [141]: KB2957509 [142]: KB2957689 [143]: KB2961072 [144]: KB2966583 [145]: KB2968294 [146]: KB2972100 [147]: KB2972211 [148]: KB2973201 [149]: KB2973351 [150]: KB2976897 [151]: KB2977292 [152]: KB2977728 [153]: KB2978092 [154]: KB2978120 [155]: KB2978668 [156]: KB2979570 [157]: KB2984972 [158]: KB2985461 [159]: KB2991963 [160]: KB2992611 [161]: KB2993651 [162]: KB2993958 [163]: KB3002657 [164]: KB3003743 [165]: KB3004361 [166]: KB3004375 [167]: KB3005607 [168]: KB3005788 [169]: KB3006137 [170]: KB3006226 [171]: KB3006625 [172]: KB3008627 [173]: KB3010788 [174]: KB3011780 [175]: KB3013410 [176]: KB3014029 [177]: KB3014406 [178]: KB3018238 [179]: KB3019978 [180]: KB3020338 [181]: KB3021674 [182]: KB3022777 [183]: KB3030377 [184]: KB3031432 [185]: KB3032323 [186]: KB3032359 [187]: KB3033889 [188]: KB3033929 [189]: KB3034344 [190]: KB3035126 [191]: KB3035131 [192]: KB3035132 [193]: KB3039066 [194]: KB3046049 [195]: KB976902 [196]: KB982018网卡: 安装了 1 个 NIC。 [01]: Intel(R) PRO/1000 MT Network Connection 连接名: 本地连接 启用 DHCP: 否 IP 地址 [01]: **.**.**.** [02]: fe80::14cf:aba1:27b5:6a9
加强安全意识
危害等级：高
漏洞Rank：10
确认时间：2016-01-20 15:35
CNVD确认并复现所述情况,已经转由CNCERT下发给江西分中心,由其后续协调网站管理单位处置.
暂无
