漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-075182
漏洞标题：通用科技旗下某医院信息管理系统后台登陆绕过，大量公民数据泄露
相关厂商：通用科技
漏洞作者： 路人甲
提交时间：2014-09-09 14:01
修复时间：2014-12-08 14:02
公开时间：2014-12-08 14:02
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-09： 细节已通知厂商并且等待厂商处理中
2014-09-14： 厂商已经确认，细节仅向厂商公开
2014-09-17： 细节向第三方安全合作伙伴开放
2014-11-08： 细节向核心白帽子及相关领域专家公开
2014-11-18： 细节向普通白帽子公开
2014-11-28： 细节向实习白帽子公开
2014-12-08： 细节向公众公开
简要描述：
通用科技旗下某医院信息管理系统后台登陆绕过，大量公民数据泄露
详细说明：
通用科技旗下多个批量医院信息系统后台登陆绕过，可以查看、导出大量公民的私人信息、数据、以及患病情况。
老幼妇孺隐私全都泄露！！！！！老人几十万数据、妇女几十万、婴幼儿更多，海量数据都出来了。。。。
属于开发的居民健康档案与慢性病管理系统，也叫做公共卫生服务系统，且是全版本通杀
存在漏洞的通用系统有以下：
由于没有源代码，黑盒fuzzing
后台登陆asp框架，账号密码都是直接带入数据库查询，而且是最简单if判断
可以使用以下账号密码绕过登陆验证，直接进入后台操作
用户多为各大市级
部分案例枚举：
直接选择系统登录即可，然后查询并导出数据，附2张图
漏洞证明：
楼上
修复方案：
增强验证
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2014-09-14 09:49
厂商回复：
最新状态：
暂无