漏洞详情

披露状态:

2014-09-24: 细节已通知厂商并且等待厂商处理中
2014-09-28: 厂商已经确认,细节仅向厂商公开
2014-10-08: 细节向核心白帽子及相关领域专家公开
2014-10-18: 细节向普通白帽子公开
2014-10-28: 细节向实习白帽子公开
2014-11-08: 细节向公众公开

简要描述:

通过各种途径收集网站用户的用户名/密码,登录网站,发现里面存在大量敏感信息,具体见说明!

详细说明:

1、漏洞页面:
http://gysxx.wljt.sc.sgcc.com.cn/template.do?method=previewnav&sid=/v8AMQAwADYANA==(四川电力物资公司)
2、通过前期信息收集知道,供应商登录系统的初始用户名为系统给定的编号,初始密码为供应商的组织机构号,而这两个号码都是可以在网上获取的,部分供应商未改初始密码导致可以登录系统。

1.jpg


这里收集了大概8个组织机构号进行登录尝试,有4个可以登录。而实际用户多达400多个,按比例应该有200个可以登入,未一一尝试验证。以下以其中一个为例进行登录

3.jpg


4.jpg


登入系统后不仅可以看到供应商的各种成交信息,这里可以新建和删除新闻。

漏洞证明:

1、漏洞页面:
http://gysxx.wljt.sc.sgcc.com.cn/template.do?method=previewnav&sid=/v8AMQAwADYANA==(四川电力物资公司)
2、通过前期信息收集知道,供应商登录系统的初始用户名为系统给定的编号,初始密码为供应商的组织机构号,而这两个号码都是可以在网上获取的,部分供应商未改初始密码导致可以登录系统。

1.jpg


这里收集了大概8个组织机构号进行登录尝试,有4个可以登录。而实际用户多达400多个,按比例应该有200个可以登入,未一一尝试验证。以下以其中一个为例进行登录

3.jpg


4.jpg


登入系统后不仅可以看到供应商的各种成交信息,这里可以新建和删除新闻。

修复方案:

修改登录系统的用户名密码。

标签: none

评论已关闭