新用户扫码下载
扫码下载APP
及时接收最新考试资讯及
备考信息
SAP R/3存在默认用户和密码漏洞
受影响系统：
SAP SAP R/3 4.6D
SAP SAP R/3 2.0B
描述：
SAP R/3是一个基于客户/服务机结构和开放系统的，集成的企业资源计划系统。
SAP R/3多个客户端存在默认帐户，远程攻击者可以利用这些帐户访问管理系统。
典型的SAP R/3安装至少由4个客户端组成，其中三个SAP R/3客户端包含在每个SAP实例中：
000 SAP R/3 (用于版本更改，升级和特殊的可定制任务)
001 Auslieferungmandant R11 (是客户端000的一份拷贝)
066 EarlyWatch (用于通过SAP AG进行技术监督)
每一个客户端拥有自己用户帐户管理系统，因此登录的信息包含三个不同的组件：用户名，密码和客户端ID，下面是上面三个客户端中所包含的默认帐户和密码(其中括号里的是密码)：
SAP* (06071992)
SAPCPIC (ADMIN)
DDIC (19920706)
在客户端066中还包含另外一个默认用户EARLYWATCH，其密码为SUPPORT。
根据安装不同，可能还包含TMSADM帐户，一般使用在传输管理系统中。
SAP*和DDIC是在线用户，拥有超级管理员权限，可以读取和修改客户端所有数据，也可以访问和修改其他客户端中的数据。通过使用交叉客户端表修改可以导致修改数据结构而产生拒绝服务。
EARLYWATCH也是在线用户，不过这个帐户没有系统管理员权限。
SAPCPIC用户不是在线用户，因此不能用于在线默认登录系统。不过它可以用于执行来自其他R/3系统RFC兼容命令，如远程函数调用。
要连接SAP R/3系统需要使用特殊的图形用户接口(SAP-GUI)，一个Linux版本的系统可在如下地址获得：
通过使用如下命令调用登录屏幕：
guistart /H//S/
这里的IP是SAP R/3应用服务程序地址，而PORT是SAP监听的端口。
建议：
临时解决方法：
如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：
* 马上修改SAP R/3存在的默认密码。
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
【我要纠错】 责任编辑：zoe
上一篇：电算化后如何进行试算平衡
下一篇：ERP的另类解释
实务学习指南
距6月报税结束还有天
新用户扫码下载
京公网安备 11010802044457号