漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0121482
漏洞标题：珂兰钻石网某管理系统弱口令(敏感信息泄漏)
相关厂商：上海珂兰商贸有限公司
漏洞作者： 路人甲
提交时间：2015-06-23 16:50
修复时间：2015-08-07 16:52
公开时间：2015-08-07 16:52
漏洞类型：后台弱口令
危害等级：低
自评Rank：1
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-23： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-08-07： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
珂兰钻石网管理系统弱口令没引发啥事儿
详细说明：
http://webadmin.kela.cn/
黄春艳 222222 弱口令，已经多日未修改，已将密码修改为Aa222222
慌不知不知何时上线了http://management.kela.cn/
访问http://webadmin.kela.cn/一看已经200多w会员了，增速好快
可访问http://shop.kela.cn/admin.php
excel上传功能异常，无权限上传文件到web目录了，如果还给权限上传文件，我还是妥妥能传个文件的，仅前台校验xml格式文件，http改包改成php文件即可上传成功到/data/www/shopold/images/xls/目录。
看了看任意文件下载漏洞还在
漏洞证明：
11年8月，14年6月分别造访过服务器，无任何破坏
修复方案：
管理员修改密码时建议进行手机短信验证，手机短信验证码为6~8位包含大小写字母和数字至少三种
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝