神刀安全网

漏洞标题: RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

漏洞详情

披露状态:

2016-06-13: 细节已通知厂商并且等待厂商处理中
2016-06-13: 厂商已经确认,细节仅向厂商公开
2016-06-14: 厂商已经修复漏洞并主动公开,细节向公众公开

简要描述:

谁能告诉我,这不是Ruby China的数据

详细说明:

1.github泄漏了ruby china 阿里oss key

github:https://github.com/huacnlee/carrierwave-aliyun/blob/1a61840a44a66c8fc3da9ce908b4f94b4a8cd187/spec/spec_helper.rb

code 区域
ALIYUN_ACCESS_ID = "osOXJ5VeQVgDLMs3"
ALIYUN_ACCESS_KEY = 'm2LSEotGzDFrtHLeG1e6OATUTQ5ypR'

2.oss工具连接成功

漏洞标题:  RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

3.backup里面有每天的数据和配置备份

漏洞标题:  RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

下载最新的一个备份文件里面包含了主站的配置文件和数据库的备份文件

漏洞标题:  RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

漏洞标题:  RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

本地还原数据库

漏洞标题:  RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

两万多用户的表

漏洞标题:  RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

漏洞标题:  RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

看一下主题,查以确定是主站数据

最新的一个主题

漏洞标题:  RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

主题按时间倒序排列

漏洞标题:  RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

网站关键配置文件的备份

漏洞标题:  RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

同时ruby.taobao.org的数据库也备份在此(内容不再截图)

漏洞标题:  RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

漏洞标题:  RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

漏洞证明:

修复方案:

版权声明:转载请注明来源 纳米翡翠@乌云

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » 漏洞标题: RubyChina主站及RubyTaobao数据库和配置文件泄漏(导致阿里云全部被控制)

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址