漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-025027
漏洞标题：某大学教务系统任意学生成绩、学分、绩点、个人信息查询漏洞
相关厂商：东软集团
漏洞作者： Maple
提交时间：2013-06-03 16:55
修复时间：2013-09-01 16:55
公开时间：2013-09-01 16:55
漏洞类型：非授权访问/权限绕过
危害等级：中
自评Rank：7
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-06-03： 细节已通知厂商并且等待厂商处理中
2013-06-06： 厂商已经确认，细节仅向厂商公开
2013-06-09： 细节向第三方安全合作伙伴开放
2013-07-31： 细节向核心白帽子及相关领域专家公开
2013-08-10： 细节向普通白帽子公开
2013-08-20： 细节向实习白帽子公开
2013-09-01： 细节向公众公开
简要描述：
只要有一个该教务系统已经登陆的账户（任何学生都有），就可以查询其他人的成绩、学分、绩点、个人信息
详细说明：
问题系统为中山大学本科生教务系统，网址 http://uems.sysu.edu.cn/jwxt/
该系统在登陆后，大部分通信通过与后端ajax通信返回json数据，但是大部分接口在查询数据时可以指定学号，当把学号替换为他人学号时可以查询到他人的信息。
漏洞证明：
我们使用Fiddler2这个工具来回放攻击，以个人信息为例
1. 登陆学校教务系统，进入个人学籍信息页面
从图中可以看到是从 http://uems.sysu.edu.cn/jwxt/WhzdAction/WhzdAction.action?method=getGrwhxxList 这个url ajax 请求到数据结果
以及我自己的学号是 09388448
2. 使用 Fiddler2 的 composer 回放攻击
我们将之前请求http数据完全复制
粘贴到 composer 里面，在最后处添加一个学号，以 09388400 为例
3. 检查是否获得其他学生信息
看图片结果可知，我们得到了 09388400 学号同学的个人信息
4 成绩、学分、绩点的漏洞存在一样的问题
讲学号修改后，就可以得到其他人的数据了，他们的url分别是
分数：
http://uems.sysu.edu.cn/jwxt/xscjcxAction/xscjcxAction.action?method=getKccjList
学分：
http://uems.sysu.edu.cn/jwxt/xscjcxAction/xscjcxAction.action?method=getAllXf
GPA：
http://uems.sysu.edu.cn/jwxt/xscjcxAction/xscjcxAction.action?method=getAllJd
修复方案：
厂商后端加入限制
版权声明：转载请注明来源 Maple@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：7
确认时间：2013-06-06 09:23
厂商回复：
该问题已经协调我公司相关部门进行修复,感谢漏洞作者@Maple.
最新状态：
暂无