漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0131615
漏洞标题：金蝶某站设计不当可探测大量弱口令账号
相关厂商：金蝶
漏洞作者： 路人甲
提交时间：2015-08-04 17:53
修复时间：2015-09-19 10:02
公开时间：2015-09-19 10:02
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-08-04： 细节已通知厂商并且等待厂商处理中
2015-08-05： 厂商已经确认，细节仅向厂商公开
2015-08-15： 细节向核心白帽子及相关领域专家公开
2015-08-25： 细节向普通白帽子公开
2015-09-04： 细节向实习白帽子公开
2015-09-19： 细节向公众公开
简要描述：
青年：为什么在一次比赛中冠军和亚军都付出了同样的努力，而人们只记住了冠军呢？禅师：我给你讲个人生哲学吧！青年：好！禅师：世界第一高峰是哪个？青年：珠穆朗玛峰！禅师：世界第二高峰呢？青年：乔戈里峰！禅师：第三高峰呢？青年：干城章嘉峰！禅师：第四高峰？青年：洛子峰禅师：第五？青年：马卡鲁峰！禅师：……青年：哎，说起来，你刚才说想给我讲的人生哲学是什么啊？禅师：吃我一巴掌
详细说明：
http://www.youshang.com/
金蝶友商网，好像客户还不少，办公软件？
截取请求，密码111111不变，爆用户
再试试123456，爆出来好多啊
随便选择一个用户进入，工作台一堆的系统
用户资料泄漏，可修改密码
再看看其他用户
嗯？陈小春，我感觉你是冒牌的
漏洞证明：
进入各系统看看，都是一些会计类的东西
不过貌似功能还挺多的
其他系统随便看看
各种系统，眼花缭乱
话说这个报表钱不少啊，属于机密信息泄漏吗
客户管理系统
修复方案：
验证码机制
修复弱口令
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2015-08-05 10:00
厂商回复：
谢谢对金蝶安全的关注，我们已通知相关部门处理。
最新状态：
暂无