漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-019317
漏洞标题：北京教育局弱口令泄漏大量学生姓名+身份证号
相关厂商：北京教育局
漏洞作者： safe121
提交时间：2013-02-28 11:30
修复时间：2013-04-14 11:31
公开时间：2013-04-14 11:31
漏洞类型：用户资料大量泄漏
危害等级：低
自评Rank：1
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-02-28： 细节已通知厂商并且等待厂商处理中
2013-02-28： 厂商已经确认，细节仅向厂商公开
2013-03-10： 细节向核心白帽子及相关领域专家公开
2013-03-20： 细节向普通白帽子公开
2013-03-30： 细节向实习白帽子公开
2013-04-14： 细节向公众公开
简要描述：
北京教育局弱口令泄漏大量学生姓名+身份证号
详细说明：
http://bjxspj.bjedu.cn/Login.aspx
部分区县级用户密码为默认111111
"北京有16区2县分别为：东城区、西城区、朝阳区、崇文区、海淀区、宣武区、石景山区、门头沟区、丰台区、房山区、大兴区、通州区、顺义区、平谷区、昌平区、怀柔区和延庆县、密云县。
其中东城区、西城区、朝阳区、崇文区、宣武区是市区比较繁华，剩下的都较市中心偏远,还有的像大兴区、通州区、顺义区、平谷区、昌平区、怀柔区和延庆县、密云县 以前不是北京的区、县，是单独的县，但后来都划为北京的区、县了"
dongcheng/111111
xicheng/111111
shijingshan/111111
mentougou/111111
fangshan/111111
daxing/111111
tongzhou/111111
pinggu/111111
且可以查看学生的身份证号和姓名
网络实名制不就这两个么。。。
漏洞证明：
http://bjxspj.bjedu.cn/Login.aspx
部分区县级用户密码为默认111111
"北京有16区2县分别为：东城区、西城区、朝阳区、崇文区、海淀区、宣武区、石景山区、门头沟区、丰台区、房山区、大兴区、通州区、顺义区、平谷区、昌平区、怀柔区和延庆县、密云县。
其中东城区、西城区、朝阳区、崇文区、宣武区是市区比较繁华，剩下的都较市中心偏远,还有的像大兴区、通州区、顺义区、平谷区、昌平区、怀柔区和延庆县、密云县 以前不是北京的区、县，是单独的县，但后来都划为北京的区、县了"
dongcheng/111111
xicheng/111111
shijingshan/111111
mentougou/111111
fangshan/111111
daxing/111111
tongzhou/111111
pinggu/111111
且可以查看学生的身份证号和姓名
网络实名制不就这两个么。。。
修复方案：
改密码，多步认证
版权声明：转载请注明来源 safe121@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2013-02-28 23:10
厂商回复：
CNVD确认并复现所述情况，已在28日转由CNCERT作为重要事件通报北京市政府信息化主管部门，由其进一步协调涉事单位处置。
按配置缺陷事件进行评分（不参考漏洞标准），rank 12
最新状态：
暂无