APP下载

Web应用四大安全漏洞分析

2013-09-10杨燕婷

中国教育网络 2013年10期
关键词:教务攻击者网关

随着Web技术的快速演变,近来黑客开始把关注重点转向Web应用系统,2013年上半年Web应用系统漏洞数量目前占新增漏洞的第二位,Web应用系统的安全风险达到前所未有的高度。目前,针对院校的专有系统(如电子邮件系统、教务系统登录)的漏洞呈现增长趋势,这些专有系统在开发之初没有考虑安全因素导致存在安全漏洞,而造成用户信息泄露等事件。本刊收集了相关漏洞的详情供各学校参考并警惕以下漏洞,以防信息丢失而造成相应的损失。

快客电邮(quick mail)远程代码执行漏洞

漏洞类型:命令执行

危害等级:高

快客邮件系统(QuarkMail)存在的一个远程代码执行漏洞(CNVD编号:CNVD-2013-21254)。攻击者利用漏洞可发起远程攻击,通过执行特定指令逐步渗透控制邮件服务器主机。互联网上已经出现了攻击利用代码,对相关服务器构成信息泄露和运行安全威胁。

根据CNVD测试结果,相关版本的快客电邮产品采用了CGI脚本,存在一处远程代码执行漏洞。攻击者可利用漏洞直接发起恶意URL请求,远程执行操作系统指令。通过当前邮件服务器运行用户已有权限,攻击者可逐步渗透并控制邮件服务器主机操作系统。

CNVD对该漏洞的综合评级为“高危”,该产品广泛应用于我国政府和重要信息系统部门以及军队、电信、新闻、教育机构和科研院所等多个领域。目前,CNVD通过测试结果还未能确认受影响的产品具体版本号。

目前,互联网上已经披露了攻击利用代码,CNVD尚未获知厂商对该漏洞的响应情况。CNVD建议相关用户直接联系厂商,要求提供解决方案。

eYou邮箱系统系列产品漏洞

漏洞类型:用户资料大量泄漏

危害等级:高

eYou是目前国内机构(高校、政府、企业)使用率最高的邮箱系统之一。今发现eYou邮件系统、eYou邮件网关系统有多处严重的安全隐患,攻击者可入侵服务器和盗取任意邮箱信息。

影响版本:

2007年以后所有版本,包括最新版。目前主要有默认配置漏洞、旧版网关漏洞与新版网关漏洞、邮箱系统远程执行漏洞。利用以上几个漏洞,只要是使用eYou的邮箱系统,就99%会被入侵。

修复方案:

更新到最新版本。

详情参见:

h t t p://w w w.w o o y u n.o r g/b u g s/wooyun-2012-016448#

万能密码进入高校银校通Web管理系统

漏洞类型: 设计缺陷/逻辑错误危害等级: 中

银校通是建立在银行和学校的网络互联基础上,方便学生或学生家长的网上即时动态缴费管理系统,是银行综合金融服务产品的重要组成部分,是学校和银行的便捷资金结算通道。

只要进入学校的银校通登录页面,知道学生银校通的账号,就可以轻松进入系统。但不可以直接修改密码,从而利用其进入到其他系统中去。

目前该漏洞已交由第三方(CNCERT国家互联网应急中心)处理 。

而厂商方面答复,CNVD确认并复现所述情况,对于绕过情况有一个前提条件,即知晓学号,在近期的测试中复现一个实例。该问题已由中国教育和科研计算机网应急响应组通知相关学校处理。

URP教务系统信息泄露漏洞可查询学生成绩和照片

漏洞类型: 未授权访问/权限绕过危害等级: 中

URP高校教务管理系统(University Educational Administration System,简称UEAS),数字化校园核心业务系统之一,集Client/Server和Browser/Web Server技术于一体,涉及教务、教学管理各环节,面向学校各部门以及各层次用户的大型集成教务管理信息系统。

北京清元优软的URP教务系统用于国内的各大高校的教务系统,但是系统存在一个页面,可以非授权查询任何学生的成绩,只要知道学生的学号,就可以查询学生成绩、身份证、头像等敏感信息。漏洞通用于所有URP系统。

修复方案:

删除页面,或者对页面访问进行一个session验证等。

猜你喜欢

教务攻击者网关
高校教务管理工作的现状分析与优化研究
教务排课对高等院校教学运行的作用分析
信号系统网关设备的优化
浅析新时期高校教务管理工作创新探讨
正面迎接批判
天地一体化网络地面软网关技术及其应用
正面迎接批判
基于ETC在线支付网关的停车场收费系统设计
基于Profibus-DP/Modbus网关的双阶挤出机组温度控制系统设计
有限次重复博弈下的网络攻击行为研究