当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0194897

漏洞标题：看我如何进入并且漫游京东内网

相关厂商：京东商城

漏洞作者： if、so

提交时间：2016-04-11 10:55

修复时间：2016-05-29 19:10

公开时间：2016-05-29 19:10

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-04-11： 细节已通知厂商并且等待厂商处理中
2016-04-14： 厂商已经确认，细节仅向厂商公开
2016-04-24： 细节向核心白帽子及相关领域专家公开
2016-05-04： 细节向普通白帽子公开
2016-05-14： 细节向实习白帽子公开
2016-05-29： 细节向公众公开

简要描述：

一个抓住细节渗透的典型案例，好的思路外加一点点好运气

详细说明：

想漫游京东好久了，晚上没事继续看看
一处github密码泄露引起了我的注意

https://github.com/swrazg/Data_watch/blob/8928be298f723445954fb93ab1e3a2478f65ca3d/send_mail.py


jdgithub.JPG


self.mail_server.login("sunwei8", "20150409.Data")


看到这个密码笑了，前面的日期明显就是当天设定密码的日期，试了一下，登录不成功
京东内网使用Windows环境，所有员工的密码会定期过期，每次都要自己重新改密码。
所有，我想，员工在20150409到今天肯定改过密码，如果他还是以这个格式来设置密码的话，那么密码是可以被猜测出来的！
密码一般一个月过期一次，所有我就把范围缩小到20160101到201604010吧，用superdic生成字典，把每一种可能性列出来。

IMG_0367.PNG


如图，几十个密码
密码生成完，开始爆破。京东的邮件服务器使用了exchange,被二次开发了，加了验证码，防护了爆破。

mail.JPG


但是然并卵，形同虚设。
WooYun: 途牛内网用户弱口令 这个漏洞里面讲了绕过验证码的攻击方式，被走了小厂商。。
访问https://mail.jd.com/ews开始爆破，简单点的就用awvs的认证测试器来爆破
成功爆破密码

sunwei8 20160109.Data


进入邮箱

vpn.JPG


发现vpn是短信2次认证的

vpn2.JPG


真是蛋碎，难道这样就挡在大门外了？
于是想到了社工

vpn3.JPG


直接发邮件给vpn@jd.com，说手机号换了，想重置vpn手机号，因为我已经有了vpn权限，所以应该不需要上级领导审批，被发现概率很小，下面就是等待了。
第二天一大早，就看到邮件了，哈哈！

QQ截图20160417215859.jpg


真是要啥有啥，可以直接内网漫游了！

IMG_0364.PNG


漏洞证明：

简单证明了下，没有做过多操作
成功进入vpn

捕获1.JPG


捕获3.JPG


捕获4.JPG




mask 区域


1.http://**.**.**/myadmin<






/code>phpmyadmin
弱口令 admin admin



jd1.JPG







jd2.JPG







jd3.JPG







jd5.JPG







jd.JPG




<code>线上环境：





mask 区域


*****report@360buy -Dad_c*****







   测试环境：
      
5)供下游校验的mysql
线上环境：





mask 区域


*****.LWWAjKJ1aLM_C2sc8VAWV1c^70O^k ^*****


jd.JPG


ERP账户是关键，重置就可以进入更多系统，比如堡垒机，运维系统，不影响员工工作，不做证明了

修复方案：

版权声明：转载请注明来源 if、so@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2016-04-14 19:02

厂商回复：

非常感谢您对京东安全的关注~

最新状态：

暂无