漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-071169
漏洞标题：联想某管理后台海量弱口令
相关厂商：联想
漏洞作者： 修码的马修
提交时间：2014-08-06 10:10
修复时间：2014-09-20 10:14
公开时间：2014-09-20 10:14
漏洞类型：服务弱口令
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-06： 细节已通知厂商并且等待厂商处理中
2014-08-07： 厂商已经确认，细节仅向厂商公开
2014-08-17： 细节向核心白帽子及相关领域专家公开
2014-08-27： 细节向普通白帽子公开
2014-09-06： 细节向实习白帽子公开
2014-09-20： 细节向公众公开
简要描述：
联想产品多业务广，旗下有很多销售业务相关的管理后台，然而部分这类网站的安全状况堪忧。
详细说明：
http://www.lenovodm.cn/
这个站你们应该不陌生了吧，翻看乌云的记录，已经出现过两次了，但问题没有彻底解决，于是我这次彻底把洞捅大了。
www.lenovodm.cn/frontoperation.rar
首先在此下载到用户手册ppt
你们的密码可以不这么儿戏吗？
根据搜集的资料，店面的编号为D000000X，前面一个D，后面是7位数
快速用python按这个规律制作了字典，再用BurpSuite跑，密码一律为123456
如图所示返回302的是成功的，200是失败的
时间关系只跑到了1400左右，已经有330+个中的。
漏洞证明：
顺便打开一个进入好了
可以发现基本上每个都有上传图片的历史，最要命的是店铺的信息一清二楚，别有用心的人甚至可以把信息全都扒下来！
这里的上传做了文件类型过滤，截断都无法成功，这点做的还是不错的。
修复方案：
对于这类使用面积广的后台，要彻底解决这样的批量弱口令问题，本人给出如下拙见：
1.先把用户手册ppt的默认密码信息删除。
2.最好可以考虑给每个店面设置不同的初始密码，单独发放。
3.引入一个程序，用户首次登陆时要求更改密码才能进行操作。
请厂商认真考虑以上意见，如此庞大的店面后台系统沦陷了真的不堪设想。
版权声明：转载请注明来源 修码的马修@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-08-07 16:05
厂商回复：
感谢您对联想信息安全工作的支持,我们会尽快修复漏洞
最新状态：
暂无