漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-033871
漏洞标题：四川建设人才网后台权限不严格可任意添加系统管理帐号
相关厂商：四川建设人才网
漏洞作者： 9k九块钱
提交时间：2013-08-09 12:39
修复时间：2013-09-23 12:40
公开时间：2013-09-23 12:40
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-09： 细节已通知厂商并且等待厂商处理中
2013-08-13： 厂商已经确认，细节仅向厂商公开
2013-08-23： 细节向核心白帽子及相关领域专家公开
2013-09-02： 细节向普通白帽子公开
2013-09-12： 细节向实习白帽子公开
2013-09-23： 细节向公众公开
简要描述：
后台多个管理页面未做认证，无需管理帐号即可进入。可以添加任意帐号/添加时配合普通会员帐号进行权限提升，可以是编辑，网站管理，oa管理，，考试考务，建造师管理注册等帐号及提升系统管理权限。因为之前添加过帐号，然后就不敢搞了，就不截进系统权限的图了。听说乌云不错 申请邀请码一个。
详细说明：
漏洞地址：
http://www.scbuilder.com/appmain/Admin/PriUserList.aspx?SysType=3
这个可以给里面帐号加权限管理。当然这里是没法获得密码的。
漏洞地址：http://www.scbuilder.com/appmain/Admin/AddUser.aspx
这个里面有个选择，选择那个前面图中的用户，可以自己设置密码 ，在岗位里面有详细的权限设置。
信息地址：http://www.scbuilder.com/appmain/Admin/AppIconList.aspx
对应的帐号这个图里都是有后台管理地址。
感觉漏洞还是蛮大的，考试的时候想让谁过就过，里面会员资料都可以做修改，系统权限上去功能更大些，里面很多东西比较敏感，我也是只进过一次，上次帖子写一半电脑死机了。
漏洞证明：
这个网站很多地方的权限都设置的比较大，但是都没有在验证这块做好。可以说如果用蜘蛛爬下的话，很多都是不需要登录的功能。
修复方案：
对敏感目录，后台调用页面都做好验证机制。
版权声明：转载请注明来源 9k九块钱@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2013-08-13 23:26
厂商回复：
最新状态：
暂无