广告系统是OpenX

经过查询OpenX（原名phpAdsNew）是一个用PHP开发的广告管理与跟踪系统，适合各类网站使用，能够管理每个广告主拥有的多种任何尺寸横幅广告，按天查看，详细和概要统计并通过电子邮件发送报表给广告主，官方网站为：adserver.openx.org。网上有报道称“南方周末网站发现OpenX广告业务模块被恶意植入挖矿脚本”，估计本次事件遇到的问题跟南方周末类似。

（1）OpenX 'flowplayer-3.1.1.min.js'后门漏洞（CVE-2013-4211）

OpenX 2.8.10的downloadable zip文件存在后门漏洞，此漏洞源于已损坏的OpenX Source 源代码包内存在后门，被利用后可导致执行任意PHP代码。

（2）openx 2.8.10 /lib/max/Delivery/common.php 后门漏洞

https://www.seebug.org/vuldb/ssvid-62465

（3）OpenX banner-edit.php脚本任意文件上传漏洞

Seebug网站称OpenX的banner-edit.php（https://www.seebug.org/vuldb/ssvid-14993）脚本允许向webroot中的文件夹上传带有任意扩展名的文件，通过上传包含有GIF标记串的特制PHP脚本就可以导致执行任意PHP代码。

（4）OpenX 2.6 (ac.php bannerid) 远程SQL盲注漏洞

https://www.seebug.org/vuldb/ssvid-9660

（5）OpenX admin/campaign-zone-link.php SQL注入漏洞

OpenX 2.8.10及其他版本在admin/campaign-zone-link.php的实现上存在安全漏洞，利用这些漏洞可允许攻击者窃取Cookie身份验证凭证、控制应用、访问或修改数据、利用其他数据库漏洞，其利用代码如下：

http://www.example.com/www/admin/plugin-index.php?action=info&amp;amp;group=vastInlineBannerTypeHtml&amp;amp;parent="><script>alert(document.cookie);</script> [XSS]

确认版本：从网上下载一个OpenX广告系统，通过对其广告系统**.*****.com进行访问，在线网站比对本地文件：“README.txt”（http://**.*****.com/README.txt）和“UPGRADE.txt”（http://**.*****.com/UPGRADE.txt），获取其系统的版本为2.8.9版本。

使用类linux系统对日志文件进行查询

由于给的日志文件（1G以上）个头比较大，使用编辑器无法正常打开，在本案例中使用PentestBox，分别执行以下命令：

cat *.log | grep "user" >user.txt

cat *.log | grep "password" >password.txt

cat *.log | grep "username="

cat *.log | grep "password="

使用notepad程序分别查看前面生成的user.txt和password.txt，获取其管理员登录广告系统的用户名、密码及IP地址信息。

执行cat *.log | grep ".php"命令查看，结果文件太多，因此不适合进行粗略型查看。后续分别对前面出现漏洞php文件进行查看：

（1）cat *.log | grep  "common.php"，命令无结果

（2）cat *.log | grep  "ac.php"，命令无结果

（3）cat *.log | grep  "campaign-zone-link.php"，命令无结果

（4）cat *.log | grep  "plugin-index.php"，命令无结果

（5）cat *.log | grep  "banner-edit.php"，命令有结果

后台管理登录地址：通过日志文件获取其后台登录地址为：http://**.*****.com/www/admin/banner-edit.php?clientid=7&campaignid=1567&bannerid=7338。

• 通过对OpenX所有漏洞进行分析，未发现被攻击目标系统被成功利用痕迹。

• 通过日志文件分析，获取其后台管理口令为弱口令，猜测入侵者是通过破解后台弱口令进入系统。从本案例中可以看到在大型公司网站系统管理中，也会出现使用公司名称+年份的口令，这种口令可以进行社工猜测和暴力破解，是渗透的一种思路和方法。

• 通过cat和grep命令，可以搜索特定关键字信息，进行结果输出和查看，对定位明确攻击页面具有较好的效果。Linux查看文件比较方便，基本不受文件大小限制。

• 本案例中出现的安全事件，也可能是通过跨站来获取后台管理员账号及密码。