漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-047356
漏洞标题：广东水电集团OA系统由于错误的认证和会话管理导致信息泄露
相关厂商：广东水电集团
漏洞作者： octopus_tan
提交时间：2013-12-30 11:19
修复时间：2014-01-04 11:19
公开时间：2014-01-04 11:19
漏洞类型：敏感信息泄露
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(广东省信息安全测评中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-30： 细节已通知厂商并且等待厂商处理中
2014-01-04： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
广东水电集团网上办公系统由于错误的认证和会话管理导致可以查看组织架构、人员信息，并且登录处可暴力破解，在未认证的页面可以进行机构、人员的管理。
详细说明：
过年了，需要给堂弟和他女朋友买回家的火车票。发现堂弟女朋友为94年妹子一下来了兴趣，百度之。
在百度第一页的最下面一条发现一个奇怪的东西
打开一看，不知道是什么东东
点击左边的地址本，可以看到整个单位的机构和人员
把URL地址的最后一个斜杠之后的东西去掉，发现还可以进行角色管理之类的
上面有各种人员的姓名，这些都能登录的吧?而且登录的地方还没有防止暴力破解的机制，这么多人跑个密码出来我想还是没问题的。当然这些我都没做，后续的上传拿shell什么的，内网渗透什么的我也是不会的。
漏洞证明：
证明什么的在上面，这里没有
修复方案：
这个具体代码我不懂唉
版权声明：转载请注明来源 octopus_tan@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-01-04 11:19
厂商回复：
最新状态：
暂无