漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-087453
漏洞标题：某支付产品后台弱口令(爆破技巧入后台大量财务敏感信息泄漏)
相关厂商：cncert国家互联网应急中心
漏洞作者： 啊L川
提交时间：2014-12-16 23:52
修复时间：2015-01-30 23:54
公开时间：2015-01-30 23:54
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-16： 细节已通知厂商并且等待厂商处理中
2014-12-20： 厂商已经确认，细节仅向厂商公开
2014-12-30： 细节向核心白帽子及相关领域专家公开
2015-01-09： 细节向普通白帽子公开
2015-01-19： 细节向实习白帽子公开
2015-01-30： 细节向公众公开
简要描述：
一个简单的密码
详细说明：
0x01
通付宝，新一代移动刷卡器。其产品介绍地址
0x02
后台管理地址
使用了一个进销存的管理系统
发现登陆失败提示 是没有用户 ，如果用户有则提示密码错误
很体贴的提示，那么，爆破下用户名 得到一个tfb_test
然后就是破解密码，，，
得到一个用户名 tfb_test 密码为 123321 登陆成功
在爆破的过程中发现，登陆失败次数过多，会导致帐号被封，，，，
以下就是后台部分截图
刷卡器管理
代理商财物信息
代理商列表，
部分财务截图
用户消费明细
漏洞证明：
还可以对app 客户端进行设置，，，，危害还是蛮大的
修复方案：
使用强壮的密码
版权声明：转载请注明来源 啊L川@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：14
确认时间：2014-12-20 16:57
厂商回复：
CNVD确认并复现所述情况，已经由CNVD通过网站公开联系方式（或以往建立的处置渠道）向网站管理单位（软件生产厂商）通报。
最新状态：
暂无