当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-010077

漏洞标题：大量学校/政府CMS 默认后台账号密码

相关厂商：e创

漏洞作者： exploits

提交时间：2012-07-24 12:14

修复时间：2012-09-07 12:15

公开时间：2012-09-07 12:15

漏洞类型：后台弱口令

危害等级：中

自评Rank：10

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-07-24： 细节已通知厂商并且等待厂商处理中
2012-07-27： 厂商已经确认，细节仅向厂商公开
2012-08-06： 细节向核心白帽子及相关领域专家公开
2012-08-16： 细节向普通白帽子公开
2012-08-26： 细节向实习白帽子公开
2012-09-07： 细节向公众公开

简要描述：

存在默认管理员帐号，可能导致国内政府与教育站点被批量入侵。

详细说明：

今天去zone-h 提交黑页，发现国外某黑客的黑页全部都是中国gov的站点。
于是看了下、好多政府和学校站都存在这个问题，应该不是后门把。
不过政府这样不用心 让我们天朝良民如何安心。。。
关键字：site:gov.cn inurl:E_Type.asp?TypeId=7 （希望各位找到更强大的关键字）
默认后台地址：login.asp
默认帐号密码：admin admin888
拿shell的方法 还没看。 政府站不敢XXOO

漏洞证明：

站点例子：
http://www.nmgxfj.gov.cn/login.asp
admin
admin888
http://www.gdpn-n-tax.gov.cn/login.asp
admin
admin888
http://www.bzqjcy.gov.cn/login.asp
admin
admin888
http://www.xyx.gov.cn/login.asp
admin
admin888
http://gaj.ybja.gov.cn/login.asp
admin
admin888
http://www.qcllw.gov.cn/login.asp
admin
admin888
http://www.qmsj.gov.cn/login.asp
admin
admin888
http://www.xjxyrlj.gov.cn/login.asp
admin
admin888
http://www.wzsfj.gov.cn/login.asp
admin
admin888

修复方案：

菜鸟式修复。你们懂的！来搞点RANK

版权声明：转载请注明来源 exploits@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2012-07-27 17:20

厂商回复：

CNVD初步确认漏洞情况（但实测exploits提交的部分实例未复现），对于成功统计的软件版本信息还在统计之中，按通用软件漏洞计，分两个方面同时进行处置：1、尝试协调软件生产厂商（目前看不太好联系上）；2、根据CNVD自主测试结果，下发各地分中心进行处置。
按完全影响完整性进行评分，rank=7.79*1.1*1.4=11.996

最新状态：

暂无