当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0126379

漏洞标题:某省政府网管理不当导致多个单位网站受牵连

相关厂商:cncert国家互联网应急中心

漏洞作者: 指尖上的故事

提交时间:2015-07-16 23:12

修复时间:2015-09-06 00:00

公开时间:2015-09-06 00:00

漏洞类型:后台弱口令

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-07-16: 细节已通知厂商并且等待厂商处理中
2015-07-21: 厂商已经确认,细节仅向厂商公开
2015-07-31: 细节向核心白帽子及相关领域专家公开
2015-08-10: 细节向普通白帽子公开
2015-08-20: 细节向实习白帽子公开
2015-09-06: 细节向公众公开

简要描述:

一个政府网站被拿下....就等于拿下全省大部分单位网站.....
就不一个一个的提交了...一次性吧...

详细说明:

http://www4.shaanxi.gov.cn/manager/login.aspx
admin 123456
我个人认为这个问题是挺严重的..
1.一个网站后台可直接登录这么多个单位
2.后台还没有任何登录限制.验证码识别.用户名与密码登录加密.随便爆破也能拿下几个站
3.100多个单位.......我想就拿下面贴出来的用户名稍微做修改就能爆破部分站吧

漏洞证明:

0.png


1.png

2.jpg

3.png


这个是测试一下其它站的用户名和密码的真实性...就不一个一个的试了

4.png

00.png


次序	单位	用户名	密码
1 陕西省人民政府 admin 8858_1865
2 陕西省人民政府 madmin 123
3 陕西省人民政府 sxadmin sx!_8858
4 陕西省人民政府 admin1
5 陕西省人民政府 admin2
6 陕西省人民政府 admin3
7 陕西省人民政府 admin4
8 陕西省人民政府 admin5
9 陕西省人民政府 admin6
10 陕西省人民政府 admin7
11 陕西省人民政府 admin8
12 陕西省人民政府 admin9
13 陕西省人民政府 admin10
14 西安市 yjpx001 123456
15 宝鸡市 yjpx002 123456
16 咸阳市 yjpx003 123456
17 铜川市 xcadmin
18 铜川市 yjpx004 123456
19 渭南市 yjpx005 123456
20 延安市 yjpx006 123456
21 榆林市 yjpx007 123456
22 汉中市 yjpx008 123456
23 安康市 yjpx009 123456
24 商洛市 yjpx010 123456
25 韩城市 yjpx011 123456
26 杨凌示范区 yjpx012 123456
27 西咸新区 yjpx013 123456
28 省政府办公厅 yjpx014 123456
29 省教育厅 yjpx015 123456
30 省工业和信息化厅 yjpx016 123456
31 省民政厅 yjpx017 123456
32 省人力资源和社会保障厅 yjpx018 123456
33 省环境保护厅 yjpx020 123456
34 省住房和城乡建设厅 yjpx019 123456
35 省交通运输厅 yjpx021 123456
36 省林业厅 yjpx022 123456
37 省旅游局 yjpx023 123456
38 省信访局 yjpx024 123456
39 共青团陕西省委 yjpx026 654321
40 省妇女联合会 yjpx025 123456


随便贴几个出来其它的也一样的......

修复方案:

修改弱口令
后台加验证
所有单位管理分离
希望重视给高rank

版权声明:转载请注明来源 指尖上的故事@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:14

确认时间:2015-07-21 08:55

厂商回复:

CNVD确认并复现所述情况,已经转由CNCERT下发给陕西分中心,由其后续协调网站管理单位处置。按篡改风险评分,rank 14

最新状态:

暂无