[同方]：数据传输测试中危漏洞-密码泄露

[chengxiaoju (软通华方_程晓菊)]

测试工具：Burp Suite
漏洞地址：/UI/Rest/AccessMgnt/Accounts/
测试目的：抓取数据传输过程中的数据，检查输入系统所有验证密码功能是否存在明文传输或简单的加密方式（如base64、md5、url编码）。
测试步骤：bmc web界面添加新的用户，后台使用burp suite抓取数据，新建用户密码明文显示，当前登录密码采用简单的base64加密。
下图是抓包数据：

登录密码可用Base64解码：

测试结论：中危漏洞

[TacoJay (张超)]

首先，从安全角度讲，本现象不属于安全漏洞，因为在抓包过程中，需要让浏览器信任抓包工具所使用证书，或者将加密证书私钥输入到抓包工具。这就表明，你已经将密钥信任交给了工具。举个例子，你把家门钥匙交给一个人，他进屋看到你家茶几上放着另一把家门钥匙。
但是，我们也注意到，一些安全测试标准中有类似的要求，我们认为原因是一些设备支持http协议的传统遗留因素导致的。但是，在openUBMC不存在这种场景。
为了配合这种安全审查要求，我们也做了相关加密的能力。开发者也可以基于这个机制自行扩展。

[lwj (李文杰)]

BMC当前仅支持使用HTTPS传输数据，在网络通信中，数据包已经被TLS协议进行加密了。
Burp Suite之所以可以解密，主要是因为BurpSuite代理了客户的操作，可以解密TLS通信中的密文信息。
在外部攻击场景下，是没有这个风险的。

针对部分定制HTTP场景的数据，需要在rackmount的属性增加Sensitive字段，同时完成前端代码适配，可以将敏感信息进行加密
前端适配可以参考：GitCode - 全球开发者的开源社区,开源代码托管平台
的localLoginSensitive方法