2015-12-28: 细节已通知厂商并且等待厂商处理中 2015-12-29: 厂商已经确认,细节仅向厂商公开 2016-01-08: 细节向核心白帽子及相关领域专家公开 2016-01-18: 细节向普通白帽子公开 2016-01-28: 细节向实习白帽子公开 2016-02-04: 厂商已经修复漏洞并主动公开,细节向公众公开
大量弱口令帐号可造成大量项目敏感信息泄漏已拿下管理,可重置任意用户密码,删除任意信息
系统地址:http://113.108.182.3:19244
从最近的项目信息中获取到人员信息
姓名即帐号,尝试弱口令帐号=密码
得到以下chenhk chenhklinyue linyuezhuxh zhuxhjiangxk jiangxk 需求分析师,项目很多
项目APS去IDE (需求分析角色, 2014-08-11)POS贷 (需求分析角色, 2014-08-11)专项项目 (需求分析角色, 2014-08-11)个人会员系统 (Reporter, 2014-08-11)互联网接入平台 (Reporter, 2014-08-11)互联网支付产品 (Reporter, 2014-08-11)企业会员系统 (Reporter, 2014-08-11)企业支付应用 (需求分析角色, 2014-08-11)兰花汇App版 (Reporter, 2014-08-11)兰花汇微信版 (Reporter, 2014-08-11)内部_规划及项目管理部 (需求分析角色, 2014-11-06)分公司操作平台 (Reporter, 2014-08-11)博卡MM (需求分析角色, 2014-08-11)卡券分销 (Reporter, 2014-08-11)后台系统 (Reporter, 2014-08-11)基础架构设计 (Reporter, 2014-08-11)增值服务平台 (Reporter, 2014-08-11)外勤助手 (Reporter, 2014-08-11)头寸管理子系统 (Reporter, 2014-08-11)客户端 (Reporter, 2014-08-11)客服中心需求 (Manager, Developer, 服务发起人角色, 需求分析角色, 开发角色, 测试角色, 2014-08-11)差错处理子系统 (Reporter, 2014-08-11)微电商 (Reporter, 2014-08-11)惠动民生App版(互联网应用) (Reporter, 2014-08-11)惠动民生测试 (Reporter, 2014-08-11)手机商户版收单- (Reporter, 2014-08-11)手机钱包项目管理 (Reporter, 2014-08-11)掌上生活 (Reporter, 2014-08-11)掌尚达银App版 (Reporter, 2014-08-11)掌尚达银App版(互联网应用) (Reporter, 2014-08-11)收银台 (Reporter, 2014-08-11)数据中心需求 (Manager, 2014-08-11)清结算子系统 (Reporter, 2014-08-11)游娃娃 (Reporter, 2014-08-11)电商业务部紧急业务需求 (Manager, 2014-08-11)电子会员卡的发行与受理 (Reporter, 2014-08-11)百货行业解决方案 (Reporter, 2014-08-11)监控平台 (Reporter, 2014-08-11)短信及邮件平台 (Reporter, 2014-08-11)移动支付系统 (Reporter, 2014-08-11)线下收单业务处理需求 (Manager, 2014-08-11)线下收单接入综合支付改造 (Reporter, 2014-08-11)线下收单紧急业务需求 (Manager, 2014-08-11)统一POSP系统 (Reporter, 2014-08-11)统一商户管理平台 (Reporter, 2014-08-11)统一客户、账户、清算、会计、资金、差错系统 (Reporter, 2014-08-11)统一客户子系统 (Reporter, 2014-08-11)统一收银 (Reporter, 2014-08-11)统一收银应用 (Reporter, 2014-08-11)综合支付1.5版本建设 (Reporter, 2014-08-11)综合支付二期建设 (Manager, Reporter, 2015-03-18)综合材料转递 (行政综合, 2015-06-26)网络支付紧急业务需求 (Manager, 2014-08-11)营销活动模块 (Reporter, 2014-08-11)融资及理财平台 (Reporter, 2014-08-11)订单中心建设 (Reporter, 2014-08-11)账户会计子系统 (Reporter, 2014-08-11)运营中心紧急业务需求 (Manager, 2014-08-11)近场支付 (Reporter, 2014-08-11)通商惠 (Reporter, 2014-08-11)通商惠平台 (Reporter, 2014-08-11)通商惠平台POS终端切换 (Reporter, 2014-08-11)通商惠平台数据迁移 (Reporter, 2014-08-11)通商惠平台监控系统 (Reporter, 2014-08-11)通商惠机构接入配合 (Reporter, 2014-08-11)通商惠项目管理 (Reporter, 2014-08-11)邮政电子门票 (Reporter, 2014-08-11)金融交易接入系统 (Reporter, 2014-08-11)需求服务 (Manager, Reporter, 2014-08-11)需求服务-线下收单 (Manager, 2014-08-11)需求服务_个人业务 (需求分析角色, 2014-08-11)需求服务_应用上架 (Reporter, 需求分析角色, 2015-02-09)需求服务_技术管理部 (Manager, 2014-11-19)需求服务_电商业务部 (Manager, 2014-08-11)需求服务_线下外卡收单 (Manager, 2014-09-05)需求服务_网络支付 (Manager, 需求分析角色, 2014-08-05)需求服务_运营中心 (Manager, 2014-08-11)需求服务_金融服务 (Manager, 2014-08-11)需求服务_银行合作部 (Manager, 需求分析角色, 2014-08-11)需求服务_风险管理部 (Manager, 2014-08-11)风险管理平台 (Manager, Developer, 2014-08-11)风险管理紧急业务需求 (Manager, 2014-08-11)
wuxin wuxinlibh libhyanglj yangljweixl weixlyufr yufrmofu mofuzhangyuan zhangyuanzhangyun zhangyun....等等你还可以利用一个弱口令去遍历所有用户http://113.108.182.3:19244/users/6161为用户的id,从1-2000遍历即可,弱口令太多了
大量需求文档、申请单、bug详情、接口文档、详设、概设文档
貌似得到了管理的帐号,可以改任意用户了
建议走vpn,系统放内网,不然就加强口令
危害等级:中
漏洞Rank:10
确认时间:2015-12-29 16:47
感谢您的关注,已提交相关部门进行整改。
2016-02-04:已修复.