漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-023533
漏洞标题：某省公益事业网站敏感数据泄露
相关厂商：某省公益事业网站
漏洞作者： 没牙的小朋友
提交时间：2013-05-13 11:41
修复时间：2013-06-27 11:41
公开时间：2013-06-27 11:41
漏洞类型：重要敏感信息泄露
危害等级：中
自评Rank：5
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-05-13： 细节已通知厂商并且等待厂商处理中
2013-05-16： 厂商已经确认，细节仅向厂商公开
2013-05-26： 细节向核心白帽子及相关领域专家公开
2013-06-05： 细节向普通白帽子公开
2013-06-15： 细节向实习白帽子公开
2013-06-27： 细节向公众公开
简要描述：
某省公益事业网站敏感数据泄露
说大不大，说小不小。可能有不少个人信息
详细说明：
涉事网站：河北省志愿服务工作注册管理系统
http://121.28.49.3/hbzy/
主要问题：根目录下有敏感数据未加约束
http://121.28.49.3/hbzy/1.rar
http://121.28.49.3/hbzy/2.rar
1.rar 解压是数据库结构的SQL脚本，以及MSSQL的数据库文件，虽然有1G大，但目测压缩率这么高，可能没有多少数据，而且是12年9月的。但是里面应该有管理员的信息，所以。。。
本人机器渣，没装MSSQL 2000附加数据库附加失败，根据提示信息看，应该是2005版本+，因为没有装，所以就没再试，就删除了。
2.rar里只是数据库文件，看时间是去掉10月份的。
另外程序好像有些小问题，不过没多大关系。
http://121.28.49.3/hbzy/main.jsp
可以绕过管理员登录验证，进入管理面板，不过进行下一步其他操作时，会提示未登录，可能不能进一步利用。
漏洞证明：
修复方案：
将备份数据保管好。
版权声明：转载请注明来源 没牙的小朋友@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2013-05-16 23:02
厂商回复：
最新状态：
暂无