WooYun.org

1. 这次很方便确认厂商...还是一枚生产业务系统....
在线交易系统使用weblogic 存在弱口令 从官方链接来的 就不截图验证厂商了
https://trade.jyvpfund.com/console/

2. shell： https://trade.jyvpfund.com/jmxroot/jmxroot.jsp 360butian
大量交易登陆日志文件

不巧的是...这些日志文件中居然保存着用户的MD5交易密码....一半交易密码都是6位纯数字...所以破解起来非常方便
验证账号1： 特意下载了其中一份日志文件，并无恶意 只为安全检测
其他日志文件中相信会有很多账号挂了 基本上6位交易密码 基本上都是大部分用户的银行卡的密码了

3. shell取数据

<dataSource type="com.szkingdom.kfit.bank.common.DataSource.C3p0DataSource">
                        <property name="driverClass" value="oracle.jdbc.driver.OracleDriver" />


mask 区域

*****ot;jdbc:oracle:thin:@10.*****
*****quot;user" value=*****
*****ot;password" value*****

4. 分析数据：
表1： 部分用户数据 身份证 姓名 银行卡

表2： 8700枚详细个人信息

表3： 1.3枚个人详细信息 详细交易

*****917008df60c0c882217cc4.png*****

企业债券利息收入数据

表4： 再一次证明这是一枚 交易数据库 因为之前验证登陆的账户都有日志记录

表5： 排序查询，最新时间是上周5 各种实际金额....随意修改可不得了 再者这是一枚实际生产环境数据库

再结合银行支对账数据

既然是实际业务环境就检测到此吧....
貌似该基金机构用户基数并不大额，看了下新闻 今年3月份才更名成 金元顺安的....
用户数据虽不多...但这是生产系统 安全不能这么玩啊...赶紧修复