漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-06882
漏洞标题：东部华侨城茶溪谷庚子首义馆阅读机权限绕过漏洞
相关厂商：东部华侨城茶溪谷庚子首义馆
漏洞作者： PCanyi
提交时间：2012-05-09 21:19
修复时间：2012-05-09 21:19
公开时间：2012-05-09 21:19
漏洞类型：权限控制绕过
危害等级：高
自评Rank：15
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-05-09： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-05-09： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
东部华侨城茶溪谷庚子首义馆阅读机为触屏，存在逻辑设计问题，可以绕过。
详细说明：
东部华侨城茶溪谷庚子首义馆阅读机为触屏，方便参观者进行相关信息浏览，以前提交留言等信息。该阅读机实际上是利用360浏览器的查看-全屏（F11）浏览功能，将其设置为全屏。当我们将手指放在阅读机的上面时（要有耐心，有一定的成功机率），就会弹出360浏览器的工具栏界面，然后将其最小化，可以点出windows的开始菜单，输入cmd命令等。
漏洞证明：
这次漏洞是在茶溪谷游玩时无意中发现的，刚敲完自己的名字的时候，就被工作人员发现了，然后淡定的关掉记事本，全屏浏览器，闪人。
这是茶溪谷的庚子首义馆，
这是该馆的留言提交终端界面，已经被我拖小了，原来是全屏的。
用的360浏览器4.0全屏的，终端机上装了不少东西嘛。写了个留言，果断离开。
修复方案：
比较复杂。。。要精简系统，并去掉不必要的快捷键等。。。
版权声明：转载请注明来源 PCanyi@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：9 (WooYun评价)