HanDs
管理员

[7月漏洞公开] 厦门某基础漏洞导致内部/涉及大量内部系统数据以及车辆实时卫星定位 



交通部车辆卫星定位系统完全置于黑客的手中,驾驶员等信息完全暴露,数据量数以万计

详细说明:

前两天无聊路过了一个卫星定位的网站http://**.**.**.**/,想说像这种站应该安全防护会很不错,毕竟涉及到定位什么的但是简单看了一下,感觉网站本身做的好像并不怎么样,当然现在只是感觉,要不证实一下?

1.png

于是我随手点开几个里面的应用找到了一个页面

code 区域
**.**.**.**:4002/v2/



2.png



V2看起来像是2.0版本,要不我访问一下1.0版本,成功访问,使用路径爆破程序挂个字典跑了一下。我跑出了这么一个路径

code 区域
**.**.**.**:4002/test.asp



这里请注意了,看这个格式明显是一个图片,为何却是asp格式?没错,我们完全有里有怀疑这是一个后门文件,而且极有可能是一个一句话图片木马,如果这是一个后门那我岂不是省了很多事,废话不说直接看看是不是弱口令,结果!密码竟然是pass!直接连接菜刀!

3.png



随便逛了一下,简单做了一下代码审计,结果真是惨不忍睹,开发人员的代码几乎没有任何安全性可言,甚至这年头还有把密码写进登录文件里的逗逼哈哈哈,轻松拿到各种数据库密码杀进数据库里,ORACLE的数据库就是大,乱起八糟的东西特别多,上面的系统也是非常多的,简单上几个截图给大伙瞅瞅就好,顺便发现了几个有趣的登录界面,出于隐私我就给大家看一个定位系统的就好了,但是根据我的观察黑客肯定已经入侵的非常深入了,因为有很多入侵提权之类的痕迹,仔细回想一下估计内部的系统已经都被日穿了,我的天,一个交通部的定位系统安全性做的这么差真的没关系吗?



漏洞证明:

以下系统全部和这个站有接口哦,大部分都是可以登录的,太敏感的我就不登录了毕竟我是白帽子

4.png



**.**.**.**:8014/CTCC/





<!--旅游客运-->

<add key="WebGPS.Web.URL.LYKY" value="**.**.**.**:8062/"/>

<!--长途客迿->

<add key="WebGPS.Web.URL.CTKY" value="**.**.**.**:4001/v2/"/>

<!--危货运输-->

<add key="WebGPS.Web.URL.WHYS" value="**.**.**.**:8064/"/>

<!--重型货车-->

<add key="WebGPS.Web.URL.ZXHC" value="**.**.**.**:4005/"/>

<!--半挂牵引轿->

<add key="WebGPS.Web.URL.BGQYC" value="**.**.**.**:4004/"/>



**.**.**.**:4002/ 厦门市重点营运车辆动态监管平台



**.**.**.**:8086/ 公交线路查询



**.**.**.**:8000/Login.aspx 厦门市客运驾驶人信息管理平台



**.**.**.**:4003/ 两客一危运输企业客户端

口说无凭,我就上一个截图证明一下好了,看清楚,这可是实时定位的

**.**.**.**:4005/Login.aspx

admin

xmgps592

5.png



6.png

修复方案:

你们的问题实在太多了,就算没有通过之前的一句话木马,首页那边貌似也有注入啊,文件包含啊,命令执行什么的,交通部的系统做成这个样子,厦门驾驶员的个人隐私问题实在让人心疼,你们看着办吧,为了保护隐私我都不好意思贴出庞大的数据库截图还有那些更加敏感的系统截图,给你们留点面子,看在这个份上给在下高一些的rank不算过分吧


学习中请遵守法律法规,本网站内容均来自于互联网,本网站不负担法律责任
厦门
#1楼
发帖时间:2016-7-16   |   查看数:0   |   回复数:0
游客组
快速回复