漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-094507
漏洞标题：东方航空预付费卡系统沦陷（12万多客户信息及预付费卡账号）
相关厂商：中国东方航空股份有限公司
漏洞作者： 路人甲
提交时间：2015-01-29 09:49
修复时间：2015-03-15 09:50
公开时间：2015-03-15 09:50
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-01-29： 细节已通知厂商并且等待厂商处理中
2015-01-29： 厂商已经确认，细节仅向厂商公开
2015-02-08： 细节向核心白帽子及相关领域专家公开
2015-02-18： 细节向普通白帽子公开
2015-02-28： 细节向实习白帽子公开
2015-03-15： 细节向公众公开
简要描述：
东方航空预付费卡系统沦陷（12万多客户信息及预付费卡账号,密码6位数字可爆破）
都是土豪 预付费卡好多都是10万 8万的 密码6位数字
客户信息包含姓名身份证号 手机号等
详细说明：
http://www0.ceair.com/muecard/pages/system/login/login.jsp
由于系统登陆处验证码可重复使用
收集常见姓名组合作为用户名
爆破获得账号：
xychen 123456
hfma hfma 日志
账号hfma有日志查看权限 可获得后台所有用户列表
爆破又获得若干账号：
xychen 123456
kmle 123456
zmchen 123456
jpwu 123456
hfma hfma 日志
PUBLIC PUBLIC
密码111111：
mlxie
lxu
yfang
yqfan
ldeng 无权限
hxqu 无权限 --
yufang 无权限
sqyang 无权限
mzhang 无权限
yzhang 无权限
xfsu 无权限
zmxu 无权限
ylhe
ljfeng
jmma 无权限
jpni 无权限
lhxu 无权限
yjing 无权限
jqzhang 无权限
sswang 无权限
wqhe 无权限
wli 无权限
xhding 无权限
xjcai 无权限
fwang
zcl1598
ywwang 无权限
jinyao
wuting 系统权限
wlzhang 666666
爆破获得的卡号密码：
0920580000357226
482886
金额为8万+
漏洞证明：
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2015-01-29 10:03
厂商回复：
十分感谢
最新状态：
暂无