漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017596
漏洞标题：西部数码某子站数据库下载导致用户数据泄露
相关厂商：西部数码
漏洞作者： txcbg
提交时间：2013-01-21 08:56
修复时间：2013-03-07 08:57
公开时间：2013-03-07 08:57
漏洞类型：应用配置错误
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-21： 细节已通知厂商并且等待厂商处理中
2013-01-21： 厂商已经确认，细节仅向厂商公开
2013-01-31： 细节向核心白帽子及相关领域专家公开
2013-02-10： 细节向普通白帽子公开
2013-02-20： 细节向实习白帽子公开
2013-03-07： 细节向公众公开
简要描述：
西部数码某子站数据库下载，导致用户数据泄露。
详细说明：
西部数码多用户计数器的网站counter.west263.com存在默认目录和文件名的数据库文件，可下载。数据库中有申请了西部数码多用户计数器的站长或网站管理员的用户信息，包括用户名和密码，而且密码是明文保存的，不应该啊。如果这些密码正好是注册用户所拥有的网站的管理员用户的密码，可能造成一大批网站被入侵。
漏洞证明：
通过扫目录发现存在网站程序说明文件http://counter.west263.com/使用说明.txt，文件中有默认数据库目录和文件名，试了下默认数据库地址http://counter.west263.com/data/cfcount.mdb，可下载，如图1。下载数据库后看到了大量注册用户的信息，特别刺眼的是明文的密码，如图2。
修复方案：
删除相关文件，数据库文件改名，提醒注册用户改密码吧。
版权声明：转载请注明来源 txcbg@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2013-01-21 10:04
厂商回复：
感谢您的提醒，这个是很久前的了几乎没用。
最新状态：
暂无