当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0199257

漏洞标题：运营商安全之中国联通某管理系统命令执行（多站管理账户泄漏）

相关厂商：中国联通

漏洞作者： 李旭敏

提交时间：2016-04-22 15:30

修复时间：2016-06-10 09:50

公开时间：2016-06-10 09:50

漏洞类型：命令执行

危害等级：高

自评Rank：10

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-04-22： 细节已通知厂商并且等待厂商处理中
2016-04-26： 厂商已经确认，细节仅向厂商公开
2016-05-06： 细节向核心白帽子及相关领域专家公开
2016-05-16： 细节向普通白帽子公开
2016-05-26： 细节向实习白帽子公开
2016-06-10： 细节向公众公开

简要描述：

听说几何黑店来签到了，我也就出山了

详细说明：

**.**.**.**:8080/whz/to_Login_login.html

存在struts2命令执行
对应的url地址是

http://**.**.**.**:8080


**.**.**.**:8080/whz/md5.jsp


传了webshell
可以直接执行命令进服务器啦

4295CE7D-55FB-43FA-9B56-5867E387F668.png


A2BC6F59-96DB-4926-896F-AB37824438EA.png

漏洞证明：

ACFA0506-5C63-47D6-8A3A-F95BE3ADD9FB.png


314E2F0F-6FD3-4ED6-AAB5-0436B2AF8E8B.png


确实是联通的
通过查看3389的端口发现改为了63389，且连接进去提示终端用户过多，登不进去。
有个小技巧，远程连接服务时加个console即可绕过
**.**.**.**:63389/console

06549D7C-E8D0-4CA5-AF51-76B4326B334C.png


一般说windows找敏感信息的最好的方法就是去管理桌面。
然后找到了这个

F572EDB7-D16B-4071-9833-C2E27C6205A1.png

一堆内网的账户密码还有服务器的登录账户密码。

716D14D1-F63D-4509-8B8E-70DCB8114C33.png


作者还在写php嗯，感觉有注入的样子

if ($action=="shen"){
	$id=$_GET["id"];
	$sql1="update wo_tuan set shen=1 where id='$id'";
	$query1=@mysql_query( $sql1 ) or die("SQL语句执行错误！");
	echo "<SCRIPT LANGUAGE=JavaScript>window.location.href='api_tuangou_admin.php?page={$page}{$myurl}';</script>";	
}
if ($action=="noshen"){
	$id=$_GET["id"];
	$sql2="update wo_tuan set shen=0 where id='$id'";
	$query2=@mysql_query( $sql2 ) or die("SQL语句执行错误！");
	echo "<SCRIPT LANGUAGE=JavaScript>window.location.href='api_tuangou_admin.php?page={$page}{$myurl}';</script>";	
}
if ($action=="tj"){
	$id=$_GET["id"];
	$sql1="update wo_tuan set tuijian=1 where id='$id'";
	$query1=@mysql_query( $sql1 ) or die("SQL语句执行错误！");
	echo "<SCRIPT LANGUAGE=JavaScript>window.location.href='api_tuangou_admin.php?page={$page}{$myurl}';</script>";	
}
if ($action=="notj"){
	$id=$_GET["id"];
	$sql2="update wo_tuan set tuijian=0 where id='$id'";
	$query2=@mysql_query( $sql2 ) or die("SQL语句执行错误！");
	echo "<SCRIPT LANGUAGE=JavaScript>window.location.href='api_tuangou_admin.php?page={$page}{$myurl}';</script>";	
}
if($action=="del"){
	$id=$_GET["id"];
	$sql="select * from wo_tuan where id='$id'";
	$query=mysql_query($sql) or die("SQl语句出错！！");
	if(!$rs=mysql_fetch_array($query)){
		echo "<SCRIPT LANGUAGE=JavaScript>alert ('您查看的信息不存在！^_^');window.location.href='api_tuangou_admin.php?page={$page}{$myurl}';</script>";	
	}else{
		$sql="delete from wo_tuan where id='$id'";
		$query=mysql_query($sql) or die("SQl语句出错！！");
		echo "<SCRIPT LANGUAGE=JavaScript>alert ('删除成功！^_^');window.location.href='api_tuangou_admin.php?page={$page}{$myurl}';</script>";
	}
}?>


24行，自行检查吧。。

mask 区域 
*****smtp.host*****
*****me=zjn*****
*****glec@**.*****
*****32100&lt*****




mask 区域


*****^^管理地址	网站帐号	^*****
******	**.**.**.**/kns50um	cnki	cnki				2*****
*****				*****
*****70721@cqjky	图书^*****
*****dmin/admin_login.asp	alan	specte*****
*****angbo#cqj*****
*****网	**.**.**.**(www.**.**.**.**)	www.**.*****
******.**.**/ess2.0/login.asp	admini*****
*****dmin_login.asp	alan	specte*****
*****angbo#cqj*****
*****/admin/admin_login.asp	a*****
*******.**/cqyx/admin_login.asp	ala*****
*****jky_xxzx		liq*****
*****zx		**.**.**.**		yb	136094*****
*****.**.**/admin/admin_lo*****
*****				*****
*****				*****
*****^号：杨博/63602448	**.**.**.**/o*****
*****.**)	**.**.**.**/cqyx/admin_login.asp	alan	specter#crowxp_007	**.******
*****jky_xxzx		liq*****
*****//**.**.**.**/admin/Admin_login.asp	y*****
*****min_login.asp	ya*****
******.**/admin/admin_login*****
*****				*****
*******.**.**)	**.**.**.**/cqyx/admin_login.asp	*****
*****x/admin_login.asp	crowxp	sp*****
*****xxzx		yangbo	ya*****
*****blog/cqyx/admin_login.*****
******)	**.**.**.**/cqyx/admin_login.asp	yb	c*****
*****qyx/admin_login.asp	杨^*****
*****.**.**.**/cqxt/manage/login.asp*****
*****83			ser-u^*****
*****nistrato*****








<alias>CommProxool</alias>
    <driver-url>jdbc:oracle:thin:@**.**.**.**:1521:ORCL</driver-url>
    <driver-class>oracle.jdbc.driver.OracleDriver</driver-class>
    <driver-properties>
      <property name="user" value="zscomm_db2"/>
      <property name="password"  value="zsjlcomm_188db"/>
    </driver-properties>
    <maximum-connection-count>70</maximum-connection-count>
    <simultaneous-build-throttle>20</simultaneous-build-throttle>
    <house-keeping-test-sql>select CURRENT_DATE</house-keeping-test-sql>
  </proxool>
  
 <proxool>
    <alias>LocalProxoolHZ</alias>
    <driver-url>jdbc:oracle:thin:@**.**.**.**:1521:ORCL</driver-url>
    <driver-class>oracle.jdbc.driver.OracleDriver</driver-class>
    <driver-properties>
      <property name="user" value="u_zshz_db"/>
      <property name="password"  value="zsjl_188hzdb"/>
    </driver-properties>
    <maximum-connection-count>100</maximum-connection-count>
 <simultaneous-build-throttle>20</simultaneous-build-throttle>
    <house-keeping-test-sql>select CURRENT_DATE</house-keeping-test-sql>
  </proxool>
  <proxool>
    <alias>LocalProxool</alias>
    <driver-url>jdbc:oracle:thin:@**.**.**.**:1521:ORCL</driver-url>
    <driver-class>oracle.jdbc.driver.OracleDriver</driver-class>
    <driver-properties>
      <property name="user" value="u_ltllyy_db"/>
      <property name="password"  value="u_ltllyy_db"/>
    </driver-properties>
    <maximum-connection-count>100</maximum-connection-count>
    <house-keeping-test-sql>select CURRENT_DATE</house-keeping-test-sql>
  </proxool>


修复方案：

版权声明：转载请注明来源 李旭敏@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2016-04-26 09:45

厂商回复：

CNVD确认并复现所述情况,已经转由CNCERT向中国联通集团公司通报,由其后续协调网站管理部门处置.

最新状态：

暂无