宏杰Zkeys域名主机管理系统默认密码漏洞

漏洞详情

披露状态:

2014-01-16: 细节已通知厂商并且等待厂商处理中
2014-01-21: 厂商已经确认,细节仅向厂商公开
2014-01-24: 细节向第三方安全合作伙伴开放
2014-01-31: 细节向核心白帽子及相关领域专家公开
2014-02-10: 细节向普通白帽子公开
2014-03-02: 细节向实习白帽子公开
2014-04-16: 细节向公众公开

简要描述:

宏杰Zkeys域名主机管理系统默认密码漏洞

详细说明:

很多管理员为了节省时间使用ZKEYSPHP

这样就默认的形成了一个大型的漏洞

大多数用户对mysql的密码重要性不怎么看重

只需要一台服务器扫描999端口默认密码zkeys

这样能取得一大堆的mysql而且还是ROOT权限

通过mysql.exe或者一些PHPWEBshell

都能够连接到mysql服务器 不管是提权也好 写文件也好 这样一晚上下来估计可以搞10来台服务器

zkeys1.png



zkeys.png

漏洞证明:

zkeys1.png

zkeys.png

修复方案:

zkeys.png

zkeys1.png

<img

版权声明:转载请注明来源 小坤@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:13

确认时间:2014-01-21 09:30

厂商回复:

CNVD确认并复现所述情况,已经由CNVD通过公开渠道向厂商通报,厂商反馈不处置。为避免信息提前公开,先行确认,待自然公开。

最新状态:

暂无


漏洞评价: