漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-086832
漏洞标题：国内某统考注册网站可遍历下载用户准考证(泄露姓名、身份证号、照片、考试等详细信息)
相关厂商：cncert国家互联网应急中心
漏洞作者： 路人甲
提交时间：2014-12-12 11:03
修复时间：2015-01-26 11:04
公开时间：2015-01-26 11:04
漏洞类型：重要敏感信息泄露
危害等级：低
自评Rank：2
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-12： 细节已通知厂商并且等待厂商处理中
2014-12-16： 厂商已经确认，细节仅向厂商公开
2014-12-26： 细节向核心白帽子及相关领域专家公开
2015-01-05： 细节向普通白帽子公开
2015-01-15： 细节向实习白帽子公开
2015-01-26： 细节向公众公开
简要描述：
可通过遍历 下载用户的准考证 其中包括用户的注册ID 姓名 身份证号 照片等
详细说明：
将其中的D9001223337是准考证号码 变一下就可以直接下载用户的准考证
其中10384 是学校代码 可根据
001教育部
100administrator
10001北京大学
10614电子科技大学
10619西南科技大学
10626四川农业大学
10635西南大学
10651西南财经大学
10698西安交通大学
10699西北工业大学
10701西安电子科技大学
10718陕西师范大学
10730兰州大学
11414中国石油大学（北京）
51161中央广播电视大学
10422山东大学
10459郑州大学
10486武汉大学
10487华中科技大学
10491中国地质大学
10497武汉理工大学
10511华中师范大学
10532湖南大学
10533中南大学
10558中山大学
10561华南理工大学
10574华南师范大学
10610四川大学
10611重庆大学
10613西南交通大学
10246复旦大学
10247同济大学
10248上海交通大学
10251华东理工大学
10255东华大学
10266上海第二医科大学
10269华东师范大学
10271上海外国语大学
10284南京大学
10286东南大学
10295江南大学
10335浙江大学
10358中国科学技术大学
10384厦门大学
10394福建师范大学
10030北京外国语大学
10032北京语言大学
10033中国传媒大学
10036对外经济贸易大学
10045中央音乐学院
10055南开大学
10056天津大学
10141大连理工大学
10145东北大学
10159中国医科大学
10173东北财经大学
10183吉林大学
10200东北师范大学
10213哈尔滨工业大学
10224东北农业大学
10002中国人民大学
10003清华大学
10004北京交通大学
10006北京航空航天大学
10007北京理工大学
10008北京科技大学
10013北京邮电大学
10019中国农业大学
10026北京中医药大学
10027北京师范大学
10425中国石油大学（华东）
11415中国地质大学(北京)
51160北京开放大学
51252上海开放大学
51255江苏开放大学
51315广东开放大学
51357云南开放大学
查得
10384001其中的001是学习中心代码可依次类推出002 003 004 直到提示404为止
漏洞证明：
修复方案：
加入验证
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2014-12-16 12:17
厂商回复：
CNVD确认并复现所述情况，已经由CNVD通过以往建立的处置渠道向教育部门及网站公开的软件生产厂商通报。
最新状态：
暂无