WooYun.org

泛微也是使用自己开发的OA系统，目前版本是8.0，存在一处敏感文件未授权访问导致的员工组织架构泄漏风险。可被用来进行暴力破解等攻击。
测试时进行了简单的弱密码枚举，发现60多个员工的密码是123456
域名：www.e-cology.com.cn
存在问题的url:
http://www.e-cology.com.cn/messager/users.data
该文件包含了所有员工的loginid、姓名、邮箱、手机号、职位等信息。loginid即是登录oa的用户名。
该问题进行了base64编码，内容如下：

解码后：

差不多有8700多员工。
使用密码123456对loginid进行枚举，为避免被恶意利用，这里列举不完整的一部分loginid：
ba**y
cha**c
chen**an
chen**n
zhangx**
zhouj**
cui**
wenfe**
yangj*
yangy**
dulia**
gaolia**
richa**
liuyo**
wuj**
登录一个试试：

查看人员：

另外，m.e-cology.com.cn也存在类似的问题。
记得第一次测时不需用登录，刚才测的时候需要登录了，不知道啥时候做什么改动了。