漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-026785
漏洞标题：新疆教育厅电子政务平台漏洞
相关厂商：新疆自治区教育厅
漏洞作者： StuckCpu
提交时间：2013-06-28 16:48
修复时间：2013-08-12 16:49
公开时间：2013-08-12 16:49
漏洞类型：基础设施弱口令
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-06-28： 细节已通知厂商并且等待厂商处理中
2013-07-02： 厂商已经确认，细节仅向厂商公开
2013-07-12： 细节向核心白帽子及相关领域专家公开
2013-07-22： 细节向普通白帽子公开
2013-08-01： 细节向实习白帽子公开
2013-08-12： 细节向公众公开
简要描述：
无robots协议导致历史聊天记录泄露，导致对显示用户名的密码测试 获取所有用户各类职位电话之类的信息 大多数密码为弱口令
详细说明：
无robots协议导致历史聊天文件被G爬虫搜索到！
多数用户口令为弱口令
可以利用OA平台对所有存有电话的员工进行短信通知
（可欺骗伪造假会议）
办公信息文件以及办公事项文件泄露
漏洞证明：
漏洞地址：http://oa.xjedu.gov.cn
单位：新疆自治区教育厅
![EA}P(0W1M%]$1R6SS$TRC(3.jpg](http://wimg.zone.ci/upload/201306/241603127c540175add8e36eea5cd21b5e629ab2.jpg)
![ITNQCM)GL~M_CRPZF7T}]3G.jpg](http://wimg.zone.ci/upload/201306/24160324a96452b2bb0209b8c0c2211fbdac23f6.jpg)
修复方案：
加强web安全
版权声明：转载请注明来源 StuckCpu@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2013-07-02 23:54
厂商回复：
最新状态：
暂无