[公开漏洞]风景网某接口未授权访问可导致被控制影响众多用户（已有挖矿机）

风景网某接口未授权访问可导致被控制影响众多用户（已有挖矿机） 相关厂商： 风景网 漏洞作者：s3xy 提交时间：2014-05-25 18:31 公开时间：2014-07-09 18:32 漏洞类型：未授权访问/权限绕过 危害等级：高 自评Rank：20 漏洞状态： 未联系到厂商或者厂商积极忽略 漏洞来源：http://www.wooyun.org Tags标签： 敏感接口缺乏认证 未授权访问 内部系统对外 漏洞详情 披露状态：

2014-05-25：积极联系厂商并且等待厂商认领中，细节不对外公开
2014-07-09：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

风景网某接口未授权访问导致可脱库（40万用户）
目测属于携程网旗下，和同程网也有关系。

详细说明：

漏洞地址为218.17.55.108:88 接口控制不严导致可直接访问

利用翻译功能可以上传文件

上传无过滤，利用审查元素功能查看shell地址

连接shell发现数据库帐号密码

成功连接数据库，发现用户数据表

我们来看看有多少条数据：403750条

在测试的过程中发现有人来过了：

另外还有些其它问题，一个是数据查询接口http://218.17.55.108:8081/api 直接访问

还有个更严重的问题是主站后台：http://218.17.55.108:100/

不需要登录直接访问http://218.17.55.108:100/admin/home/即可操作管理员账户，密码也是明文的。

顺便吐槽下，这密码也太。。。

成功登录主站后台

最后还有个问题是渗透中发现webmaster邮箱帐号webmaster@fengjing.com/fengjing123

漏洞证明：

接口

218.17.55.108:88

218.17.55.108:8081/api

邮箱

mail.fengjing.com webmaster/fengjing123

后台

218.17.55.108:100 admin/1、admin1/1 、wzh/0000

修复方案：

控制接口访问，增强口令强度。

版权声明：转载请注明来源 s3xy@乌云 漏洞回应 厂商回应：

未能联系到厂商或者厂商积极拒绝