WooYun.org

考勤管理系统
1、URL：http://122.225.108.2:8080/accounts/login/ 考勤管理系统
2、查看以前漏洞, 整理收集以下帐号(可以根据规则, 进行扩展的)

00003216 王娜
00004329 黄宇斌
00003367 林小芳
00005538 邰小悦
00005623 俞小霞
00004770 边加云
00011795 王亚男
00004154 李戈
00003760 熊淑兰
00002999 庄苏静
00004942 高福玉
00005355 陶玉群
00002735 祁韦霞
00005193 张凤琼
00005452 薛海林
fz
前者为用户名， 密码123456 采用用户登录方式

3、证明危害(以下用户除了查询权限,还拥有增、删、改权限)
帐号fz

8千多员工数据, 第一个是超级管理员, 每个员工都能查看密码, 然后可用员工编号和密码实现员工自助登录

帐号00003216 王娜

员工图片, 都是可以查询的

其他操作权限证明

帐号 00004329 黄宇斌

还有的帐号不再一一尝试, 上述已经可以证明了, 至少上万条员工数据泄漏, 弱密码问题还是要重视一下的.
中通快递全国车辆GPS管理平台账户体系弱密码
1、首先, 查看了昨天提交的漏洞, 发现已经修复, 但3个测试帐号中有一个还可以登录(细心啊),既然这样, 我简单深入一下吧
http://mail.zto.cn/index.php
邮箱名 [email protected]
新密码 6d9e4@7#6a04
2、登录后, 查看发现有很多已发送的邮件, 发现有用班车信息(2000多条邮件)

3、下载其中一个, 为测试而已, 部分车次信息如下(系统中还有很多,如果危害不够,我可以补充)

沪DF7326
沪BT0981
沪D29348
沪D12416
浙A2H877
浙A1A219
浙A1M488
浙A4J288
浙A4L788
沪D10396
沪BG8632
浙A4H788
浙A2D998
浙A2F488
浙A2K019
粤BR8912
京AN1667
湘AB0052
粤BW1482
粤BT6930
浙A2G877
沪D93775

4、http://1.xingruan.zto.cn/ 中通快递全国车辆GPS管理平台 用户名写车次就可以了, 密码123456
5、证明危害(测试了前5个,都可以的)