漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-046462
漏洞标题：壹基金一子站后台弱口令导致拿下SHELL
相关厂商：壹基金
漏洞作者： 老黑
提交时间：2013-12-19 16:33
修复时间：2013-12-24 16:34
公开时间：2013-12-24 16:34
漏洞类型：后台弱口令
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-19： 细节已通知厂商并且等待厂商处理中
2013-12-24： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
记得壹基金喜欢用弱口令，于是就简单的测试下，就这么给入了。
详细说明：
以前提交过漏洞，后来忽略了，想想RANK一直没破100，就做了下简单的弱口令测试
本来想提交邮箱弱口令一枚，默认以前info的官方邮箱密码是of12346
发现失败，于是对其他的站点进行检查。
http://ofvf.onefoundation.cn/
id=2的账户名称为mushroomann 密码跟账户一样
权限不错，可以编辑其他的账户信息或者添加管理员账号，不过貌似WP的后台被你们改了
没有主题编辑 没有插件编辑？
OK,影响不了我拿下SHELL的节奏
面板是用自己的路啊 嘿嘿
漏洞证明：
以前提交过漏洞，后来忽略了，想想RANK一直没破100，就做了下简单的弱口令测试
本来想提交邮箱弱口令一枚，默认以前info的官方邮箱密码是of12346
发现失败，于是对其他的站点进行检查。
http://ofvf.onefoundation.cn/
id=2的账户名称为mushroomann 密码跟账户一样
权限不错，可以编辑其他的账户信息或者添加管理员账号，不过貌似WP的后台被你们改了
没有主题编辑 没有插件编辑？
OK,影响不了我拿下SHELL的节奏
面板是用自己的路啊 嘿嘿
修复方案：
为什么要弱口令呢，密码强化下
版权声明：转载请注明来源 老黑@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-12-24 16:34
厂商回复：
最新状态：
暂无