漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-057884
漏洞标题：广州大学城一卡通网站信息泄露，可随意查看他人信息
相关厂商：广州大学城一卡通
漏洞作者： CrazyLee
提交时间：2014-05-07 11:47
修复时间：2014-05-12 11:48
公开时间：2014-05-12 11:48
漏洞类型：重要敏感信息泄露
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(广东省信息安全测评中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-07： 细节已通知厂商并且等待厂商处理中
2014-05-12： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
广州大学城一卡通网站注册页面过滤不严，导致信息泄露
详细说明：
可以通过以下两种方式获取他人信息
https://www.gzekt.com/CustNologinAction_register.action?message=1,xxxxxxxx,-1
xxxxxxxx为一卡通号码
https://www.gzekt.com/CustNologinAction_register.action?message=1,yyyyyyyy,zz
yyyyyyyy为学号，zz为学校代码，如下表：
13 广东外语外贸大学
14 广东工业大学
15 广州美术学院
16 广州大学
17 华南理工大学
18 华南师范大学
19 星海音乐学院
20 广州中医药大学
21 广东药学院
23 中山大学
26 华软软件学院
29 韶关学院医学院
只要知道一卡通号码，或者知道学校和学号，就可以知道对方的姓名和电话等，还可以注册进一步获取其消费记录，什么时候去哪吃了多少钱，全漏了。。。
漏洞证明：
上面有些信息和谐了，可以自己试试
一卡通号码为8位数，前两位为学校代码，自己组合哈，邪恶的人还可以枚举获得全大学城所有高校2008年到2013年所以学生的信息。。。本人水平有限就不来了。。
接着，我试着帮自己的号注册了，结果成功注册~~
注册成功后，就可以查看消费记录呀，啥的，你可以帮她充值饭卡（哪位会这么傻呢。。不过对方是漂漂则又不一定哈）
此漏洞我两个月前已经发现，没想到隔了这么久还没修复，其实只要好奇心强一点的人都能发现，可想而知我们的信息。。。
修复方案：
管理员注意过滤。。。
版权声明：转载请注明来源 CrazyLee@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-05-12 11:48
厂商回复：
最新状态：
暂无