当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-034342

漏洞标题:某快递公司官网客服系统存在弱口令和XSS

相关厂商:全封快递

漏洞作者: Michael.Tuan

提交时间:2013-08-15 10:17

修复时间:2013-09-29 10:18

公开时间:2013-09-29 10:18

漏洞类型:后台弱口令

危害等级:高

自评Rank:16

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-08-15: 积极联系厂商并且等待厂商认领中,细节不对外公开
2013-09-29: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

在网上和某快递客服咨询时,发现聊天系统存在XSS,后经测试发现同时存在后台漏洞。

详细说明:

【客服后台管理弱口令】
因为该快递公司使用第三方客服系统,找到后台登录地址:
http://www.qfkd.com.cn/zxkf/Admin/SYSTEM/adminLogin.aspx 输入用户名密码默认admin后成功登录。进去后可以获得客服信息操作权限。简单浏览了下一些信息,查看别人的留言等。这些信息可能会被诈骗人员利用。另外获得后台权限后,深入的话很有可能入侵整个网站及服务器。
【XSS漏洞】
1.打开客服聊天页面:http://www.qfkd.com.cn/zxkf/powertalk/im/chat.aspx
2.在聊天输入框里加入<script>alert(1)</script>,然后发送发现正常弹出该警告框。猜测客服那里也可以看到。

漏洞证明:

修复方案:

1.过滤聊天窗口js代码
2.修改后台登录页面地址以及帐号密码。

版权声明:转载请注明来源 Michael.Tuan@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝