漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-037424
漏洞标题：网站设计公司客户案例网站后台弱口令漏洞
相关厂商：szgreat.cn
漏洞作者： 红叶
提交时间：2013-10-19 10:31
修复时间：2013-12-03 10:32
公开时间：2013-12-03 10:32
漏洞类型：后台弱口令
危害等级：低
自评Rank：5
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-19： 细节已通知厂商并且等待厂商处理中
2013-10-19： 厂商已经确认，细节仅向厂商公开
2013-10-29： 细节向核心白帽子及相关领域专家公开
2013-11-08： 细节向普通白帽子公开
2013-11-18： 细节向实习白帽子公开
2013-12-03： 细节向公众公开
简要描述：
www.szgreat.cn公司客户案例展示列表中的大多数网站后台路径和默认账号密码没有修改，导致可以登录客户网站后台
详细说明：
该公司设计的网站大部分用自己开发的一套ASP.NET平台。
给客户制作网站的时候没有修改默认后台路径和管理账号密码
后台地址为： /GreatAdmin/Default.aspx
账号密码为：admin admin
漏洞证明：
打开该公司主页，转到客户案例，到企业网站里随便找几个网站看看，大部分都可以用默认后台账号密码登陆的。
打开一家服装网站试试
打开网站后在地址栏加入默认后台路径后可登陆后台
http://www.qq-duck.com/GreatAdmin/Default.aspx
下面为打开其他客户网站的后台：
后台用的是EWEBEDITOR编辑器 拿SHELL参透不是本文的目的就不一一展示了，
后台有个网页底部管理，挂马足够了，就算拿不到SHELL，目的也达到了
修复方案：
危害不算不大，国内很多厂商做完网站都不负责。
虽然安全方面不归你们负责，客户不懂你们要懂，小小的一个改动，后台目录按当天日期，账号密码随机更改下再提交成品给客户。
建议公司联系客户协助修改，还能提升公司的品牌信誉，安全是从一点一滴做起的。
版权声明：转载请注明来源 红叶@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：13
确认时间：2013-10-19 12:02
厂商回复：
公司已经安排专人跟进处理逐一通知客户进行修改密码
谢谢对我们的关注
最新状态：
暂无