记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华
«大汉网络有限公司远程命令执行漏洞(WebSp...
和睦家某站修复不当继续SQL注入... »

神州数码某漏洞导致百万敏感信息泄漏包括用户详细住址姓名手机号等

2016-01-05 13:00

219.143.213.46:7002

weblogic应用

存在JAVA反序列化命令执行漏洞！

administrator系统权限

60.png





内网IP，可威胁内网安全！

61.png





可直接写webshell

http://219.143.213.46:7002/bea_wls_internal/she11.jsp?o=index

62.png





翻到数据库配置

code 区域
<jdbc-driver-params>

    <url>jdbc:oracle:thin:@10.1.126.78:1521:wmdb</url>

    <driver-name>oracle.jdbc.OracleDriver</driver-name>

    <properties>

      <property>

        <name>user</name>

        <value>tms_test</value>

      </property>

    </properties>

    <password-encrypted>{AES}W74OjGias8tJ3tzpx+KHbKzAVUdh7HG/fxa3sJoaDGQkTce/bI3CMy3iYmXM6C2T</password-encrypted>

  </jdbc-driver-params>



解密

tms_test

tms_testuser1023



连上数据库，百万信息泄漏！

63.png





50万订单，泄漏姓名，详细住址，手机号等敏感信息！

64-1.png



64.png





扫内网，86台内网主机可进一步深入！

65--86台内网主机.png

漏洞证明：

修复方案：


知识来源: www.wooyun.org/bugs/wooyun-2016-0166313

阅读:452310 | 评论:0 | 标签:漏洞

想收藏或者和大家分享这篇好文章→复制链接地址

“神州数码某漏洞导致百万敏感信息泄漏包括用户详细住址姓名手机号等”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

黑帝公告 📢

❤十年经营、持续更新、精选优质黑客技术文章的Hackdig，帮你成为掌握黑客技术的英雄❤

客黑业创的万千入年个一

❤用费0款退球星，年1期效有员会

🧠富财控掌，知认升提，长成起一💡

随机推荐 🤖

标签云 ☁