发新话题
打印

任子行某网络安全管理系统/网御网络审计系统存在通用型设计缺陷(无需登录)

任子行某网络安全管理系统/网御网络审计系统存在通用型设计缺陷(无需登录)

漏洞概要
缺陷编号:        WooYun-2015-131736
漏洞标题:        任子行某网络安全管理系统存在通用型设计缺陷(无需登录任意添加管理员附POC)
相关厂商:        任子行网络技术股份有限公司
漏洞作者:        YY-2012
提交时间:        2015-08-05 08:09
公开时间:        2015-11-04 14:16
漏洞类型:        设计缺陷/逻辑错误
危害等级:        高
自评Rank:        20
漏洞状态: 厂商已经确认
漏洞来源:        http://www.wooyun.org
Tags标签:逻辑错误 设计缺陷


漏洞详情披露状态:
2015-08-05:        细节已通知厂商并且等待厂商处理中
2015-08-06:        厂商已经确认,细节仅向厂商公开
2015-08-09:        细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航
2015-09-30:        细节向核心白帽子及相关领域专家公开
2015-10-10:        细节向普通白帽子公开
2015-10-20:        细节向实习白帽子公开
2015-11-04:        细节向公众公开

简要描述:新旧型号通杀----附70案例
另外案例中发现北京网御星云某产品也是使用该系统,到底谁山寨谁你们去打一架吧。

详细说明:任子行产品---“任天行网络安全管理系统”存在设计缺陷无需登录情况下可任意添加管理员。

(同时发现“任子行WLAN专用认证设备”也是同一套系统同样存在缺陷)







漏洞证明:由于存在设计缺陷可利用如下POC可实现无需登录情况下可任意添加管理员(ps:添加的管理员必须为不存在的。)




code 区域注意:有时添加完管理员后,输入账号密码登录后会跳到http页面导致加载不完整,这时加https访问即可加载完整(厂商这是bug啊)。



“任天行网络安全管理系统”案例:


code 区域https://183.64.166.165/manage/index/login
https://124.117.238.234/manage/index/login
https://221.233.134.10/manage/index/login
https://218.62.55.113/manage/index/login
https://59.37.160.56/manage/index/login
https://221.233.134.10/manage/index/login
https://218.62.55.113/manage/index/login
https://www.njvtc.cn/manage/index/login
https://218.7.123.183/manage/index/login
https://121.18.66.203/manage/index/login
https://www.njvtc.edu.cn/manage/index/login
https://zjc.njvtc.edu.cn/manage/index/login
https://dqx.njvtc.edu.cn/manage/index/login
https://dzbm.njvtc.cn/manage/index/login
https://jgx.njvtc.cn/manage/index/login
https://swx.njvtc.cn/manage/index/login
https://ysx.njvtc.cn/manage/index/login
https://xsc.njvtc.cn/manage/index/login
https://jcb.njvtc.cn/manage/index/login
https://jxx.njvtc.cn/manage/index/login
https://183.62.194.125/manage/index/login
https://223.72.152.129/manage/index/login
https://218.25.228.133/manage/index/login
https://122.138.197.12/manage/index/login
https://61.136.68.93/manage/index/login
https://218.17.156.196/manage/index/login
https://124.133.249.78/manage/index/login
https://182.106.212.225/
https://61.145.194.23/
https://219.149.216.204/manage/index/login
https://222.85.150.153/manage/index/login
https://61.183.23.165/manage/index/login
https://202.105.118.134/manage/index/login
https://210.46.112.27/manage/index/login
https://124.225.110.123/manage/index/login
https://61.184.45.232/manage/index/login
https://123.58.62.237/manage/index/login
https://121.18.132.53/manage/index/login
https://218.6.135.169/
https://59.38.110.107/manage/index/login
https://60.2.99.13/manage/index/login
https://114.247.89.60/manage/index/login
https://202.107.80.36/manage/index/login
http://182.106.212.225/
https://222.126.152.6/manage/index/login
https://219.139.47.12/manage/index/login
https://121.17.26.64/manage/index/login
https://202.100.206.8/
https://113.98.237.230/manage/index/login
https://61.145.196.121/manage/index/login
https://116.113.109.14/manage/index/login
https://61.178.184.97/manage/index/login
https://61.183.35.11/manage/index/login
https://121.250.132.3/manage/index/login
https://61.185.27.37/manage/index/login
https://122.140.126.196/manage/index/login
https://61.159.160.183/manage/index/login
https://218.28.83.38/manage/index/login
https://119.57.117.132/manage/index/login
https://124.117.238.233/manage/index/login
https://222.85.150.154/manage/index/login
https://183.246.161.23/manage/index/login
https://61.189.248.143/manage/index/login
https://61.234.38.28/manage/index/login
https://220.112.207.202/manage/index/login
https://211.148.195.199/manage/index/login
https://27.22.85.6/manage/index/login
https://59.46.177.226/manage/index/login
https://61.184.101.45/manage/index/login













“任子行WLAN专用认证设备”案例:


code 区域https://223.72.166.149/manage/index/login
https://218.205.142.30/manage/index/login





网御网络审计系统

https://218.64.84.83/





修复方案:联系开发。。

版权声明:转载请注明来源 YY-2012@乌云

漏洞回应
厂商回应:
危害等级:高

漏洞Rank:15
确认时间:2015-08-06 14:14
厂商回复:谢谢
最新状态:暂无
原文:http://www.wooyun.org/bugs/wooyun-2015-0131736


[ 本帖最后由 linda 于 2016-1-12 11:18 编辑 ]

TOP

发新话题