漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-059447
漏洞标题：湖南省某卫生管理系统1万多个医疗点帐号密码泄漏，数据库密码泄漏
相关厂商：湖南省某卫生管理系统
漏洞作者： superbing
提交时间：2014-05-05 15:37
修复时间：2014-06-19 15:38
公开时间：2014-06-19 15:38
漏洞类型：重要敏感信息泄露
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-05： 细节已通知厂商并且等待厂商处理中
2014-05-09： 厂商已经确认，细节仅向厂商公开
2014-05-19： 细节向核心白帽子及相关领域专家公开
2014-05-29： 细节向普通白帽子公开
2014-06-08： 细节向实习白帽子公开
2014-06-19： 细节向公众公开
简要描述：
湖南省卫生厅某管理系统1万多个医疗点帐号密码泄漏，数据库密码泄漏。
详细说明：
简单的说下过程吧：
湖南农村卫生系统根目录下有个http://222.240.205.133/wwwroot.rar
下载回来发现原来的sa密码链接不上，找到vip目录有几个aspx文件，看了下文件头，改名为mdb，破掉MDB密码（密码为：rongdahulian）
一切就在眼前了！1万多个帐号来着，湖南的都在里面了！
网速不给力登录要装插件，难下载了！想想算了，不深入了！分数到手就可以了！
基本密码就是 000 123 之类的！
漏洞证明：
医疗点列表
数据库帐号密码列表
管理员帐号密码。
网站打包
修复方案：
删除备份文件，初始密码过于简单，无安全意识，基本都未改密码！
版权声明：转载请注明来源 superbing@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2014-05-09 23:40
厂商回复：
CNVD确认并复现所述情况，已经转由CNCERT下发给湖南分中心处置。
最新状态：
暂无