漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-063339
漏洞标题：中国高等教育学生信息网全国大学生学籍照片无授权可任意查看漏洞
相关厂商：中国高等教育学生信息网
漏洞作者： dlevr
提交时间：2014-06-03 13:46
修复时间：2014-07-18 13:46
公开时间：2014-07-18 13:46
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：5
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-06-03： 细节已通知厂商并且等待厂商处理中
2014-06-08： 厂商已经确认，细节仅向厂商公开
2014-06-18： 细节向核心白帽子及相关领域专家公开
2014-06-28： 细节向普通白帽子公开
2014-07-08： 细节向实习白帽子公开
2014-07-18： 细节向公众公开
简要描述：
可遍历获取全国多届大学生的学籍照片，不知道中国高等教育学生信系网一共有多少大学生的学籍信息呢？
详细说明：
括号里面的是变量，只需改变一下就可以查看其他的照片，妹纸们的学籍照片都不是太漂亮，所以我只弄了陕西和广东的学籍照片来证明有这个漏洞，其他省份的学籍照片肯定也有同样的漏洞！
陕西：http://xjxl.chsi.com.cn/images/photoForLQK/E59950E（51F68）B64CE040007F010008F1
陕西：http://xjxl.chsi.com.cn/images/photoForLQK/E59950E（2EBF3）B64CE040007F010008F1
陕西：http://xjxl.chsi.com.cn/images/photoForLQK/E59950E（3DC5F）B64CE040007F010008F1
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（91022）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（61003）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（71002）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（71001）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（71000）FB37E040007F0100552A
PS：照片上有红颜色数字的是广东的，没有红颜色数字的是陕西的！
广东大学生的学籍照片链接里的变量全是数字，更方便去查看其他人的照片！
可以利用这个漏洞举办一个全国大学生选美大赛！我的想法不错吧，哈哈！
漏洞证明：
陕西：http://xjxl.chsi.com.cn/images/photoForLQK/E59950E（51F68）B64CE040007F010008F1
陕西：http://xjxl.chsi.com.cn/images/photoForLQK/E59950E（2EBF3）B64CE040007F010008F1
陕西：http://xjxl.chsi.com.cn/images/photoForLQK/E59950E（3DC5F）B64CE040007F010008F1
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（91022）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（61003）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（71002）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（71001）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（71000）FB37E040007F0100552A
PS：照片上有红颜色数字的是广东的，没有红颜色数字的是陕西的！
修复方案：
这个你们比我更专业!
版权声明：转载请注明来源 dlevr@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-06-08 10:10
厂商回复：
最新状态：
2014-06-08：补充一下处置情况，已经转由CNCERT上报给教育部某司局，作为保障专项事项，由其后续协调处置。