当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2015-0149650
漏洞标题：
Juniper VPN 存在缺陷可绕过短信\token验证导致漫游内网
相关厂商：
Juniper
漏洞作者：
if、so
提交时间：
2015-10-26 20:52
修复时间：
2015-12-17 14:48
公开时间：
2015-12-17 14:48
漏洞类型：
设计错误/逻辑缺陷
危害等级：
高
自评Rank：
20
漏洞状态：
已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2015-10-26： 细节已通知厂商并且等待厂商处理中
2015-10-30： 厂商已经确认，细节仅向厂商公开
2015-11-02： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2015-12-24： 细节向核心白帽子及相关领域专家公开
2016-01-03： 细节向普通白帽子公开
2016-01-13： 细节向实习白帽子公开
2015-12-17： 细节向公众公开

简要描述：

全球知名网络设备提供商juniper存在缺陷可绕过短信、token验证。好像是oday~

详细说明：

其实很简单
juniper一般是通过AD域验证或者预设账号验证，但是现在安全意识越来越好了，厂商们纷纷加入了短信，动态token验证，这样即使有了对应的账号密码也无法登陆vpn
如何绕过了?
juniper vpn的登陆地址是：
https://xxx/dana-na/auth/url_default/welcome.cgi
仔细看是default出卖了自己，因为juniper可以自己修改vpn页面或者开通多个vpn登陆入口
所以为绕过安全策略埋下伏笔

漏洞证明：

以金山为例
https://**.**.**.**/dana-na/auth/url_default/welcome.cgi
默认页面是这个，不用想肯定有动态码、短信验证

ks11.png


改成https://**.**.**.**/dana-na/auth/url_2/welcome.cgi
页面发生了变化

ks2.png


tz_offset=480&username=test&password=xxx#&realm=test&btnSubmit=Sign+In


登陆请求发现分组已经是test了
果断爆破，用户名就选test吧，成功爆破，登陆成功

ks.png


1111.png


再贴一个测试成功的案例

1111.png


2222.png


3333.png


总结：想绕过动态码验证，更改url_default为url_1或者url_2或者3,4,5只要厂商自定义了其他页面，那就可能突破成功

修复方案：

只允许用户访问特定页面

版权声明：转载请注明来源 if、so@乌云

>

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2015-10-30 17:04

厂商回复：

CNVD确认并复现所述情况，已经由CNVD通过网站公开联系方式向网站管理单位通报。

最新状态：

暂无