当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0131323

漏洞标题：优集品某些弱口令导致大量内部信息外泄（已连VPN）

相关厂商：优集品

漏洞作者： ago

提交时间：2015-08-03 16:22

修复时间：2015-09-21 09:30

公开时间：2015-09-21 09:30

漏洞类型：账户体系控制不严

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-03： 细节已通知厂商并且等待厂商处理中
2015-08-07： 厂商已经确认，细节仅向厂商公开
2015-08-17： 细节向核心白帽子及相关领域专家公开
2015-08-27： 细节向普通白帽子公开
2015-09-06： 细节向实习白帽子公开
2015-09-21： 细节向公众公开

简要描述：

员工安全意识不足

详细说明：

qq邮箱，别问我怎么找到密码的，我是猜的。。。
[+] Login successful: hr@ujipin.cn ujipin123
[+] Login successful: weixinde@ujipin.cn ujipin123
[+] Login successful: fengxin@ujipin.cn ujipin123
[+] Login successful: security@ujipin.cn ujipin@123
[+] Login successful: app@ujipin.cn ujipin@123

漏洞证明：

最值得表扬的是fengxin@ujipin.cn这个同学，负责开权限的

2.png


这个弱口令了竟然，关于密码的信息就有10页

3.png


还有什么vpn啊，短信平台啊，各种业务在内
来个vpn

6.png


已连接

7.png


各种短信平台信息：

EDM汉启后台地址：
http://newsletter.liveport.cn:8081/smartedm/welcome.do
用户名：liveport     
密码 yjp*****
 
触发平台部署后的账号信息
平台：http://smail.ujipin.cn:8080/smartredm/welcome.do
登陆账号:admin
密码：yjp******
ws认证用户名：ujipin
密码：ujipin
短信平台账号
账号 cf_ujipin 密码 YbX**
触发平台地址：http://106.ihuyi.com/login.html               邮件平台密码已经更换！新密码为：yjp***
壹玛仕平台：
地址：https://suite9-cdn.emarsys.net/
account：ujipin
username：ujipin
password：yjp***


厂商账号：

1.png


要不要自己重置个密码评个级~~

修复方案：

改密码，培训员工安全意识

版权声明：转载请注明来源 ago@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：6

确认时间：2015-08-07 09:28

厂商回复：

谢谢，确实需要主要，尤其企业内部通讯内容

最新状态：

暂无