E创新漏洞 警惕政府网站被攻击
来源:IT专家网 更新时间:2008-08-19

 

  作者: 甘肃老五

E创网站系统”是政府站点通用的建站模板系统,几乎成了政府建站首先模板系统,占了相当大的市场份额。最近,E创爆出新漏洞,采用该系统的政府网站将面临者攻击的危险。笔者写这篇文章重在分析漏洞原因,解析攻击利用过程,并给出解决办法。以期采用该系统的网站提高警惕,尽快修复漏洞。

  1、漏洞分析

  down.asp是E创系统的防盗链文件,其关键代码如图1:

防盗链文件

  HTTP_REFERER是是header的一部分,当浏览器向web服务器发送请求的时候会带上Referer,告诉服务器该请求是从哪个页面链接过来的,服务器籍此可以获得一些信息用于处理。Request.ServerVariables("HTTP_REFERER")的作用就是服务器获取链接的来源,然后与Request.ServerVariables("SERVER_NAME")获得的服务器名进行比较看看去爱那个8个字符是否相同,从而判断该链接是否来源于本服务器,以确定是否是“盗链”。

  由于服务器对于HTTP_REFERER没有进行过滤,因此可以利用Microsoft.XMLHTTP组件伪造Referer,绕过E创网站系统down.asp的防盗链限制,关键代码为: 

      Dim oXMLHttp,oStream,SourceCode,action,weburl,savefile
  action=Request("action")
  weburl=Request("weburl")
  savefile=Request("savefile")
  Function E_0Day()
  Set oXMLHttp = Server.CreateObject("MSXML2.XMLHTTP")
  With oXMLHttp
  .Open "Get", weburl, False
  .setRequestHeader "Referer",mid(weburl,1,InStr(8,weburl,"/")-1)
  'Response.Write mid(weburl,1,InStr(8,weburl,"/")-1)
  .Send
  End With

  核心代码.setRequestHeader "Referer",mid(weburl,1,InStr(8,weburl,"/")-1)对客户端提交的weburl进行切分构造Referer。最后把这个构造的Referer提交给down.asp文件可以实现下载任意文件。有了核心代码然后以此为基础构造一个提交页面。(图2)

构造提交页面

  当然攻击者最感兴趣的是Conn.asp文件,因为该文件是数据库连接文件。在该文件中记录了采用的数据库类型(ACCESS或者SQL):对于ACCESS数据库可以看到数据库的路径及其名称,从而可以确定数据库的URL地址然后下载数据库;如果是SQL数据库,则可以看到数据库的连接用户和密码,然后利用类似SQL连接器的工具连接服务器。

  2、入侵解析

  (1).部署环境

  由于提交页面是asp代码,因此需要部署asp运行环境。一般情况下,攻击者会利用IIS部署一个Web站点然后启用“Active Server Pages”扩展即可,当然攻击者也会利用支持asp的空间实施欺骗提交。

  (2).站点搜索

  在Google、百度等搜索引擎中输入“inurl:E_readnews.asp”进行搜索即可得到使用E创网站系统的网站。当然,还可以在后面加上其它的关键词进行更精确的搜索。笔者在Google中搜索结果有206,000个,将近有80%的是后缀为gov.cn的政府网站,如果加上后缀的网站,政府网站的数量绝对超过85%。(图3)

E创网站搜索

  (3).下载Conn.asp

  从搜索结果中复制类似http://www.***.gov.cn/wfqzf/E_ReadNews.asp?NewsID=914的网址,然后将“E_ReadNews.asp?NewsID=914”替换为“down.asp?filename=../conn.asp%20”通提交页面提交即可显示出conn.asp文件的内容。在此,站点的数据库信息一目了然。(图4)

下载Conn.asp

  (4).下载数据库

  E创有Access和SQL两个版本,以Access数据库为例可以看到Conn.asp文件中有类似

  DB = "DataBases/###sqq2008#.mdb"这样的语句,这就是数据库的路径和地址。然后结合网站地址确定数据库的URL地址,通过下载工具就可以将数据库下载下来。需要注意的是该数据库做了防下载措施,在数据名称中加了“#”。不过攻击者通过修改就可以简单突破,用“%23”代替“#”这样数据名称就变为23%23%23%sqq2008%23.mdb就可以下载了。(图5)

下载数据库

 (5).破解密码

  用数据库工具打开刚才下载的E创数据库,在“E_Admin”下就可以看到管理员名称和密码了,不过密码是MD5加密的。获得该加密密码,攻击者就可以通过类似www.cmd5.com这样的网站进行破解了,如果密码比较弱一般会很快破解出来。当然,有的时候他们也会进行本地暴力破解。(图6)

破解密码

  (6).登录利用

  E创的登录后台一般是http://www.*.gov.cn/login.asp,输入用户名、密码及验证码后即可登录后台。该后台主要是用来进行文章的发布和管理的,可利用的地方不多。不过,通过该后台可以发布信息。想一想在政府网站上发布信息会产生怎样的不良影响。前段时间,有黑客攻克某省的地震信息网站发布虚假的地震信息,造成了很大的恐慌。另外,攻击者还可以编辑修改已经发布的信息,并且可以进行挂马。如果真是这样的话,不仅有损政府的形象,而且由于政府网络的流量大访问者众多会城门失火殃及池鱼,造成访问者电脑中马。(图7)

登录利用

  3、防范措施

  通常情况下我们的政府网站疏于管理,安全措施不到位很容易被攻击。针对E创下载欺骗漏洞如何防范呢?

  (1).数据库防下载。最简单的是为数据库改名,将其后缀改为.asp,当然改完后在conn.asp中也要做相应的修改,不然系统会找不到数据库。另外,还可以利用防数据库下载脚本保护数据库以防被下载。

  (2).设置强密码。 E创的默认后台管理员用户名是admin,默认密码为admin888,在笔者的友情检测中发现很多站点的后台密码都是默认的。后台密码一定要复杂,要符合安全性要求。这样就算是攻击者暴库下载得到密码的MD5值也不容易破解,让其知难而退自动放弃。

  (3).更改后台路径。改变E创默认的后台登录路径,后台的路径一定要深并且目录不容易被猜到。不过修改后台路径后,login.asp文件要做相应的修改不然找不到ChkLogin.asp无法进行用户验证。

  (4).及时升级系统。到某前为止,笔者下载最新的E创Access版本进行测试还是存在该漏洞,权宜之计将down.asp改名,攻击者不知起名也就无法利用了。

  总结:作为展示政府形象以及发布信息的平台,政府网站安全性显得尤为重要。希望管理员们做好防范,愿E创网站系统的新漏洞不要伤及政府网站。