当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0185768

漏洞标题：安盛天平财产邮箱弱口令导致的成功一半域渗透

相关厂商：安盛天平财产保险股份有限公司

漏洞作者： 路人甲

提交时间：2016-03-17 15:44

修复时间：2016-05-04 21:41

公开时间：2016-05-04 21:41

漏洞类型：命令执行

危害等级：高

自评Rank：20

漏洞状态：厂商已经修复

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-03-17： 细节已通知厂商并且等待厂商处理中
2016-03-21： 厂商已经确认，细节仅向厂商公开
2016-03-31： 细节向核心白帽子及相关领域专家公开
2016-04-10： 细节向普通白帽子公开
2016-04-20： 细节向实习白帽子公开
2016-05-04： 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

为什么成功一半呢。。。no getpass tools带面纱的那种~~~~~~

详细说明：

首先是随便拿了几个用户报出了一个密码
abc@tpaic.com 123@tpaic
登陆

4.GIF


这里发现了第一个问题，对全球通讯录进行邮箱搜集后，通过暴力破解，可以破解出大量的邮箱弱口令
先上爆破图

Capture.GIF


本来到这里就结束了，但是手贱，看到共享文件夹里面有一封邮件。。。然后~~~~

3.GIF


还有个CITRIX。so，登陆了，然后点了半天个小时没点开。。真的是，是不是配置错了呀，没事，哥有法宝---说明书

6.GIF


卧擦，原来是位置不对，嗯，这次进来了

7.GIF


嗯，CITRIX防范的不严，shift+F1,调出了任务管理器，然后cmd
哈哈，可以执行命令了

Windows IP 配置
   主机名  . . . . . . . . . . . . . : wm0xap04
   主 DNS 后缀 . . . . . . . . . . . : tpaicdom.com
   节点类型  . . . . . . . . . . . . : 混合
   IP 路由已启用 . . . . . . . . . . : 否
   WINS 代理已启用 . . . . . . . . . : 否
   DNS 后缀搜索列表  . . . . . . . . : tpaicdom.com
以太网适配器 以太网:
   连接特定的 DNS 后缀 . . . . . . . :
   描述. . . . . . . . . . . . . . . : Intel(R) 82574L 千兆网络连接
   物理地址. . . . . . . . . . . . . : 00-50-56-A8-B1-E8
   DHCP 已启用 . . . . . . . . . . . : 否
   自动配置已启用. . . . . . . . . . : 是
   IPv4 地址 . . . . . . . . . . . . : 10.100.61.128(首选)
   子网掩码  . . . . . . . . . . . . : 255.255.255.0
   默认网关. . . . . . . . . . . . . : 10.100.61.254
   DNS 服务器  . . . . . . . . . . . : 10.100.63.18
                                       10.100.63.28
   TCPIP 上的 NetBIOS  . . . . . . . : 已启用
隧道适配器 isatap.{9EBFCF23-C419-4152-B2C9-EF2ED4B05A72}:
   媒体状态  . . . . . . . . . . . . : 媒体已断开
   连接特定的 DNS 后缀 . . . . . . . :
   描述. . . . . . . . . . . . . . . : Microsoft ISATAP Adapter
   物理地址. . . . . . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP 已启用 . . . . . . . . . . . : 否
   自动配置已启用. . . . . . . . . . : 是
C:\Windows\system32>
------------------------------------------------
C:\Windows\system32>net group "domain admins" /domain
这项请求将在域 tpaicdom.com 的域控制器处理。
组名     Domain Admins
注释     指定的域管理员
成员
-------------------------------------------------------------------------------
Administrator            arubamgt                 AXATP_BK
axatp_trust              citrixadmin              DomainTrust20140110
ex_lijun                 lujiacheng               mailcluster
mailsrv                  netbackup                rmsservice
ruhua.wang               runmont                  sangfor
scanuser                 sslvpn                   windows_admin
命令成功完成。
C:\ProgramData>net group "domain controllers" /domain
这项请求将在域 tpaicdom.com 的域控制器处理。
组名     Domain Controllers
注释     域中所有域控制器
成员
-------------------------------------------------------------------------------
TPAIC-CCDOMSRV$          TPAIC-CCDOMSRV2$         TPAICDOMBAK$
TPAICDOMSRV01$           TPAICDOMSRV02$           TPAIC-NMDOMSRV$
TPAIC-SALESRV$           TPAIC-WHDOMSRV1$
命令成功完成。


看到在域中，就继续看了一下，下面是最精彩的时候，管理员应该被拖出去吊打
cmd>net localgroup administrators
Admin
CtxAppVCOMAdmin
TPAICDOM\citrixadmin
TPAICDOM\Domain Admins
TPAICDOM\GWGroup
请注意 TPAICDOM\GWGroup，什么东西好像混进来了。。
查看这个组的成员，我靠。。所有的域普通用户都在这里啊

8.GIF


既然有了本机的管理员权限，等待时机（域管理上线管理CITRIX主机/本身机器中服务的域管理账号）就能搞定整个域了
于是上了mimikatz，于是乎被杀了。。卧擦。。唉，算了就到这里吧，已经很严重了

漏洞证明：


上面说明白了

修复方案：

1、加强邮箱密码吧，虽然8位有特殊字符，但是对于公司来讲也是弱口令
2、CITRIX外面设置个base验证，或者加二次验证
3、CITRIX的本地管理员组，不需要CWGROUP这个组
4、其他的，打这么多字不容易，给个20吧

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2016-03-21 15:04

厂商回复：

已经安排内部整改，谢谢您提供的建议。

最新状态：

2016-05-04：已解决。