漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-024784
漏洞标题：万达某OA系统信息泄露，可登陆万达董事长的OA
相关厂商：大连万达集团股份有限公司
漏洞作者： 肉肉
提交时间：2013-05-30 10:41
修复时间：2013-07-14 10:42
公开时间：2013-07-14 10:42
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-05-30： 细节已通知厂商并且等待厂商处理中
2013-05-30： 厂商已经确认，细节仅向厂商公开
2013-06-09： 细节向核心白帽子及相关领域专家公开
2013-06-19： 细节向普通白帽子公开
2013-06-29： 细节向实习白帽子公开
2013-07-14： 细节向公众公开
简要描述：
目测可以登陆所有员工的OA
详细说明：
最开始在发现的这个地方：
http://dev.wanda.cn/demo/
万达移动OA的测试地址吧，点一下登录就进去了，有一个默认帐号。
然后在里面某个页面发现了用户名规律，员工名字的拼音，如果有重名就加数字，密码和用户名一样，然后我就用wanglei0这个帐号密码成功登录的正式的OA系统。
然后我突然想到了万达的董事长，然后试了试他的名字，果然登录进去了
然后OA里面有个通讯录功能，貌似搜索功能有注入，我没深入，只测试了可以显示所有员工信息，然后根据这个名字拼音就可以登录OA了，意思就可以登录所有员工OA了。有9千多页数据哦。。。
危害就不说了，里面各种敏感的商业信息，还可以审批很多东西。
漏洞证明：
同上。。。
修复方案：
1.删除OA系统的测试界面
2.正式的OA系统，不要使用那种弱口令吧
3.登录界面加入验证码。
版权声明：转载请注明来源 肉肉@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2013-05-30 17:03
厂商回复：
感谢肉肉同学的关注与贡献！此系统纯为测试系统，账号及数据为测试假数据。但是研发单位对测试系统明显管控不严，已紧急关闭此系统。
最新状态：
暂无