漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0204285
漏洞标题：幸福人寿某系统漏洞涉及全部代理人信息/后台沦陷/大量客户信息/发现webshell
相关厂商：幸福人寿
漏洞作者： z_zz_zzz
提交时间：2016-05-02 22:50
修复时间：2016-06-20 13:30
公开时间：2016-06-20 13:30
漏洞类型：系统/服务补丁不及时
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-05-02： 细节已通知厂商并且等待厂商处理中
2016-05-06： 厂商已经确认，细节仅向厂商公开
2016-05-16： 细节向核心白帽子及相关领域专家公开
2016-05-26： 细节向普通白帽子公开
2016-06-05： 细节向实习白帽子公开
2016-06-20： 细节向公众公开
简要描述：
幸福人寿某系统存在漏洞，泄露全部代理人姓名、手机号、账号、密码、工资，导致后台沦陷，泄露大量客户信息，包括姓名、手机号、身份证号、银行卡号、邮箱、家庭住址、电子保单等，在服务器中发现webshell
详细说明：
仅查询了少量信息证明漏洞存在，没有做坏事，不要查我的水表
**.**.**.**:7001/
幸福人寿以下系统均存在JAVA weblogic反序列化漏洞
下面的系统应该是生产环境的
连上服务器，有人已经来过了
发现webshell
打开webshell页面
密码123567
发现大量客户的电子保单，有一万多个
电子保单里有详细的客户信息，有姓名、银行卡号、手机号、身份证号、家庭住址、邮箱等
连上数据库
保险代理人员信息，有姓名、手机号、账号、密码、邮箱、地址
13W代理人信息
随便找个人的信息登录系统
看到这个组织关系图，突然想到了常见的骗术：“喂，我是你的领导，明天来我办公室一下”。。。
代理人工资
个人业绩
个人信息
换个管理员登录
团队成员信息
团队主管
设备管理
换个总公司用户，可以对网站内容进行管理
整个公司的组织关系都可以查看
团队活动量管理
数据库中的客户信息，有姓名、银行卡号、身份证号
1万多客户信息
漏洞证明：
见详细说明
修复方案：
打补丁
可以参考：
修复weblogic的JAVA反序列化漏洞的多种方法
http://**.**.**.**/web/13470
版权声明：转载请注明来源 z_zz_zzz@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2016-05-06 13:21
厂商回复：
CNVD确认并复现所述情况,已经转由CNCERT向保险行业信息化主管部门通报,由其后续协调网站管理单位处置.
最新状态：
暂无