瑞星預警：多家酒店存漏洞 千萬用戶信息面臨泄露
2013-10-22 10:08:12近日，瑞星公司發布網絡漏洞預警，包括7天連鎖酒店（以下簡稱7天）在內的多家連鎖酒店存在嚴重的系統安全漏洞。此前（今年5-6月份），有黑客在互聯網網上公布了某連鎖酒店的數據庫信息，其中2000萬用戶的身份證、手機、住址及開房時間等敏感信息遭到泄露。針對本次事件，瑞星互聯網攻防實驗室對國內部分連鎖酒店進行了網絡安全性分析并出具了一份報告，該報告指出：存在安全問題的酒店網站不僅限于黑客之前公布的酒店列表，國內一些其他連鎖酒店的網站同樣存在安全漏洞，黑客可通過這些漏洞輕易獲得所有用戶的敏感信息。
圖：被黑客泄露的用戶信息
“目前，我們已知7天的WLAN賬號系統存在漏洞”，瑞星安全專家介紹，該系統應用了Structs2框架。今年7月，Structs2就曝出了嚴重的遠程命令執行和重定向漏洞（漏洞詳情：http://www.aqdw56.com/about/news/rising/2013-07-17/14085.html），然而7天的WLAN賬號系統卻并沒有及時升級，導致該漏洞仍然存在于系統當中。經瑞星工程師測試，確認可以通過Structs2漏洞獲取7天的服務器權限，并獲得目標數據庫中的所有用戶信息。
除此之外，瑞星攻防實驗室還對其他連鎖酒店網絡系統進行了安全分析，發現這些酒店幾乎都存在此類安全問題，這些酒店中存儲的千萬用戶的隱私信息、開房記錄等都時刻面臨著泄露的危險。因此，瑞星安全專家提醒廣大酒店網絡安全管理人員，盡快對酒店網絡環境及系統環境進行全面徹底的安全檢查，檢測系統環境中可能存在的網絡安全問題，并及時修補，以防止惡意黑客攻擊事件的發生，保護用戶的數據信息不被外泄。另外，瑞星安全專家還表示，為了幫助更多的企業及時發現信息安全隱患，規避信息安全事故，瑞星公司預計在未來將推出漏洞平臺，面向所有企業及網站所有者提供更加專業、全面的信息安全預警服務。
附件：7天連鎖酒店網絡系統漏洞分析
近日，互聯網上有黑客公布了某連鎖酒店的數據庫信息，數據庫文件中有2千萬條包含用戶的身份證號、手機號以及住店記錄等信息。這些均為用戶的敏感數據信息，對用戶的信息安全及個人隱私帶來極大的危害。針對本次用戶敏感數據信息泄露事件，瑞星公司的網絡安全工程師對我國部分連鎖酒店網絡的安全性進行了分析，發現不僅黑客公布的酒店網站存在安全問題，其他一些連鎖酒店的網站同樣存在安全漏洞。這些漏洞將能讓黑客通過遠程入侵滲透的方式獲取目標服務器權限，并以此盜取用戶敏感數據信息。
本文以7天連鎖酒店某一網絡系統為例，分析該酒店系統存在的嚴重安全問題。我們發現7天連鎖酒店存在嚴重安全漏洞的網絡地址為http://120.196. ***/，網頁截圖如下圖所示。
圖：7天WLAN賬號系統截圖
從網頁的標題我們可以知道，該系統為7天連鎖酒店WLAN賬號管理系統。在對該系統分析過程中，我們發現該系統應用了Structs2框架。而Structs2框架在前不久被公布存在嚴重的遠程命令執行和重定向漏洞。該漏洞在公布當日，瑞星官方網站就對該漏洞相關信息進行介紹和預警，漏洞描述信息可以訪問http://www.aqdw56.com/about/news/rising/2013-07-17/14085.html獲取。如果7天連鎖酒店的網絡管理人員沒有針對該框架進行安全升級的話，則極有可能存在該漏洞。因此我們選擇一個URL地址進行Structs2漏洞的測試。測試的URL地址為http://120.196.1***。根據已公布的漏洞利用方法，我們嘗試進行遠程命令執行漏洞的利用，嘗試執行命令whoami，也就是嘗試獲取當前用戶的用戶名信息。構造URL地址如下：http://120.196.1**/***?redirect:${%23a%3d(new%20java.lang.ProcessBuilder(new%20java.lang.String[]{'whoami'})).start(),%23b%3d%23a.getInputStream(),%23c%3dnew%20java.io.InputStreamReader(%23b),%23d%3dnew%20java.io.BufferedReader(%23c),%23e%3dnew%20char[50000],%23d.read(%23e),%23matt%3d%23context.get('com.opensymphony.xwork2.dispatcher.HttpServletResponse'),%23matt.getWriter().println(%23e),%23matt.getWriter().flush(),%23matt.getWriter().close()}。該URL的作用是：如果目標系統存在Structs2遠程命令執行漏洞，則系統會執行我們預設的whoami命令，并將命令執行的結果信息反饋給我們。在瀏覽器中提交該URL信息后，我們發現可以獲取當前用戶名信息，也就證明該系統存在嚴重的Structs2遠程命令執行漏洞，返回結果如下圖所示。
圖：遠程執行命令返回結果
通過進一步的信息獲取，我們獲取到了與服務器環境有關的一些信息如下表所示。
然而在真實的入侵事件中，黑客的目標當然不是獲取服務器相關信息，而是獲取與用戶相關的敏感數據信息。所以我們測試在此基礎上模擬黑客真實的入侵攻擊，對該系統實施進一步的滲透攻擊。
首先就是利用漏洞獲取Webshell。關于Structs2框架獲取Webshell的方法已經有成熟的利用方式，僅需要通過遠程命令執行漏洞寫入文件即可實現。我們獲取的Webshell如下圖所示。
圖：Webshell截屏
通過Webshell中的文件查看功能，我們找到了數據庫連接信息，并在該信息基礎上獲取了目標數據庫中黑客比較感興趣的數據庫表及用戶的敏感數據信息，如下圖所示。
部分數據庫及數據庫表中的表：
ORACLE ---- ANSWER_ITEM
ORACLE ---- ANSWER_SHEET
ORACLE ---- APP_NEW_INN
ORACLE ---- BLACKLIST
ORACLE ---- FEE_CARD
ORACLE ---- OPERATOR
ORACLE ---- OPERATOR_LOG
ORACLE ---- OPERLOG
下圖為數據庫ORACLE下，表USERST的部分數據：
ORACLE ---- USERST
通過上述針對7天連鎖酒店網絡系統安全漏洞的分析，我們發現在酒店眾多網絡系統中，如果一個系統存在安全問題，就可能導致與酒店相關用戶的敏感數據信息的泄露，而這也恰好驗證了網絡安全的木桶原理。
在對其他連鎖酒店網絡系統的安全分析中，我們發現這些酒店的網絡中幾乎都存在這種安全風險，這都將導致用戶的敏感數據信息及個人隱私的外泄，對用戶的影響和危害及其巨大。所以我們建議眾多酒店的網絡安全管理人員對酒店網絡環境及系統環境進行全面徹底的安全檢查，檢測系統環境中可能存在的網絡安全問題，并及時修補，以防止惡意黑客攻擊事件的發生，保護用戶的數據信息不被外泄。
