当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0143649

漏洞标题:宇信易诚某系统大量员工用户存在弱口令(涉及内部敏感信息)

相关厂商:宇信科技

漏洞作者: 不会游泳的鱼

提交时间:2015-09-27 14:12

修复时间:2015-11-14 09:52

公开时间:2015-11-14 09:52

漏洞类型:敏感信息泄露

危害等级:高

自评Rank:12

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-09-27: 细节已通知厂商并且等待厂商处理中
2015-09-30: 厂商已经确认,细节仅向厂商公开
2015-10-10: 细节向核心白帽子及相关领域专家公开
2015-10-20: 细节向普通白帽子公开
2015-10-30: 细节向实习白帽子公开
2015-11-14: 细节向公众公开

简要描述:

新厂商,来一发

详细说明:

宇信易诚考核系统:http://219.143.38.228/
使用收集的宇信易诚员工邮箱列表:

gongxh@yuchengtech.com
chenxj1@yuchengtech.com
ymz@yuchengtech.com
marketing@yuchengtech.com
student@yuchengtech.com
changhx@yuchengtech.com
lvyj@yuchengtech.com
yxhs_zixun@yuchengtech.com
luoyun1@yuchengtech.com
chenlm@yuchengtech.com
test@yuchengtech.com
liujia4@yuchengtech.com
zengshuo@yuchengtech.com
zhangyan@yuchengtech.com
zhuwg@yuchengtech.com
wangxiao1@mail.yuchengtech.com
apple@yuchengtech.com
hzhr@yuchengtech.com
maohj@yuchengtech.com
recruit_gz@yuchengtech.com
zhangpeng1@yuchengtech.com
huangjuan1@yuchengtech.com
hejin@yuchengtech.com
baiyb@yuchengtech.com
chengzx@yuchengtech.com
yuhq@yuchengtech.com
wangqs@yuchengtech.com
fangjuan@yuchengtech.com
zengqing@yuchengtech.com
shijg@yuchengtech.com


进行登陆弱口令爆破,密码设为yuchengtech
成功爆破出10多个用户,如下图中均可成功登录

1.jpg


既然这么多弱口令,那直接用Top500姓名爆破下,成功爆出91条记录

7.jpg


liuwei
zhangli
zhangjing
wangmin
limin
liuyang
wangyong
zhangjie
zhanglei
lijuan
wangjun
liujie
lili
wangdan
wangpeng
liutao
litao
lichao
lihua
lihui
wangbin
zhangping
zhangli
libin
chenjie
zhangbo
zhangying
lili
zhanghong
liuying
lihui
wangxue
yangmin
lining
wangjun
zhangping
lilin
chenfang
yangtao
liuhuan
zhangying
zhanglin
zhangqian
wangxu
liuxin
chenqiang
liuchang
liuying
yangchao
zhangmei
chenping
liuhong
zhangjie
liuyang
chenlei
wangyun
chenpeng
zhangdan
lijia
chenhui
zhanglei
wangdong
yangwei
liuting
liuming
yanglei
zhaomin
chenyun
zhangjing
zhangying
chenfei
libin
wangyang
chenjie
wangbin
lirong
lilin
zhangbo
zhanglin
zhoujie
zhaoyong
yangbin
liwen
chenping
sunwei
zhangli
zhangnan
xujing
wanglu
zhangwen
machao


以上为用户名,密码均为yuchengtech
随便选择一个进行登录,里面包含员工个人敏感信息如姓名、身份证号、手机、住址等

2.jpg


可查看考核信息

3.jpg


4.jpg


各种公司内部制度信息

5.jpg


6.jpg

漏洞证明:

如上

修复方案:

杜绝弱口令

版权声明:转载请注明来源 不会游泳的鱼@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2015-09-30 09:50

厂商回复:

此系统为公司07-08年的旧系统,现已下线,但未做关闭,存在泄漏原系统已存信息的风险。
很感谢大侠测试出的漏洞,收到通知后已对不使用系统进行关闭,修复漏洞。

最新状态:

2015-10-12:已修复