漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-062662
漏洞标题：河南职业技术学院多个分站存在权限绕过
相关厂商：河南职业技术学院
漏洞作者： Hacker7x
提交时间：2014-05-28 18:31
修复时间：2014-07-12 18:32
公开时间：2014-07-12 18:32
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：6
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-28： 细节已通知厂商并且等待厂商处理中
2014-05-30： 厂商已经确认，细节仅向厂商公开
2014-06-09： 细节向核心白帽子及相关领域专家公开
2014-06-19： 细节向普通白帽子公开
2014-06-29： 细节向实习白帽子公开
2014-07-12： 细节向公众公开
简要描述：
河南职业技术学院多个分站存在权限绕过
详细说明：
河南职业技术学院多个分站采用的都是“电商客TM 老马电子商务工作室荣誉出品 院校版 1.0”的系统，这个系统太次了，直接输入后台地址首页，就可以绕过登录验证！
例如 合作办学处的分站是 http://hz.hnzj.edu.cn/ 后台地址是 http://hz.hnzj.edu.cn/admin/login.aspx 需要登录验证的 但是我们只有把 后台地址修改成 http://hz.hnzj.edu.cn/admin/index.aspx 好了，直接可以进行文章修改和发布了！90%的权限就被绕过去了！
漏洞证明：
直接访问下面的地址，就可以管理这个分站了，大多数常用操作都不需要输入密码！
合作办学处 http://hz.hnzj.edu.cn/admin/Index.aspx
校产管理处 http://xc.hnzj.edu.cn/admin/Index.aspx
科技开发处 http://kj.hnzj.edu.cn/admin/Index.aspx
团委 http://tw.hnzj.edu.cn/admin/Index.aspx
机关党总支 http://jg.hnzj.edu.cn/admin/Index.aspx
党政办公室 http://dzb.hnzj.edu.cn/admin/Index.aspx
基础教学部 http://jcb.hnzj.edu.cn/admin/Index.aspx
继续教育学院 http://cjy.hnzj.edu.cn/admin/Index.aspx
烹饪食品系 http://prsp.hnzj.edu.cn/admin/Index.aspx
电气工程系 http://dqgc.hnzj.edu.cn/admin/Index.aspx
信息工程系 http://xxgcx.hnzj.edu.cn/admin/Index.aspx
上几张截图
修复方案：
对于学校来说就是换一个cms程序吧！
对于cms程序开发者来说，这么低级的错误，不要从事这个行业了~~~~
版权声明：转载请注明来源 Hacker7x@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：7
确认时间：2014-05-30 09:22
厂商回复：
正在通知相关学校处理
最新状态：
暂无