漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0127827
漏洞标题：某高校大规模数据泄露,权限控制不当导致任意操作
相关厂商：CCERT教育网应急响应组
漏洞作者： Abnerwei
提交时间：2015-07-21 19:51
修复时间：2015-09-07 15:40
公开时间：2015-09-07 15:40
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-07-21： 细节已通知厂商并且等待厂商处理中
2015-07-24： 厂商已经确认，细节仅向厂商公开
2015-08-03： 细节向核心白帽子及相关领域专家公开
2015-08-13： 细节向普通白帽子公开
2015-08-23： 细节向实习白帽子公开
2015-09-07： 细节向公众公开
简要描述：
网页命名规则不当，导致多个页面泄露，目录遍历.....麻麻再也不用担心我考试不好了
详细说明：
逛着好奇，来到了小妹妹的学校网站，看着还不赖，登着进去一看。(⊙o⊙)…这命名规则好明显的说....219.230.159.145/index3.aspx,这不赤裸裸的告诉我还有1,2,3,4.同时压力测试系统目录泄露...网址仅供测试使用,部分信息仅提供证明...网址还请打码！功能太多...
漏洞证明：
211.65.74.100:8082 压力测试系统目录遍历（截止发稿官方已屏蔽，附上截图一张）
根据社工得来的账号进入后很快发现命名规则，均以web_+"模块缩写"，导致大量网页泄露
登录口未设验证码，可burpsuite破解！
再来几张代表性截图
麻麻再也不用担心我考试不好了
其中学生个人信息,学生成绩等一系列隐私泄露...喂，你家孩子考试挂了，快打2000到XX银行账户上...O(∩_∩)O~（易被黑产利用）
学生登陆后219.230.159.145/index3.aspx
教师工号查询219.230.159.145/web_szgl/szgl_jsxx_ll.aspx
学号命名规则219.230.159.145/web_xjgl/cx_bjxx.aspx
多个地址发生越权(http://219.230.159.145/web_xjgl/xjgl_wh_tj_xsxx.aspx?xsxh=+"学生学号")
根据之前压力测试系统泄露的文件来看很轻松的获取管理员权限（管理权限）
重修费?
管理员发送信息，谁不信啊....(咳咳...老师给你辅导辅导)(211.65.74.100:8082/web_xx/oa_sms_xkxx.aspx)
还有几个上传点在哪儿忘记了...
其他相关的不再赘述...
修复方案：
IIS吧....加强权限控制，seesion权限以及网页身份验证
版权声明：转载请注明来源 Abnerwei@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2015-07-24 15:40
厂商回复：
CNVD确认所述情况，已由CNVD通过网站管理方公开联系渠道向其校长邮箱邮件通报，并同步抄报给教育网应急组织赛尔网络公司
最新状态：
暂无