漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0140086
漏洞标题：济源农商银行某系统后台弱口令导致总行/各支行所有员工用户名/姓名/所属部门/个别邮箱身份证等信息泄露及后台全部功能操作
相关厂商：济源农商银行
漏洞作者： 路人甲
提交时间：2015-09-12 10:58
修复时间：2015-10-30 08:12
公开时间：2015-10-30 08:12
漏洞类型：后台弱口令
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-09-12： 细节已通知厂商并且等待厂商处理中
2015-09-15： 厂商已经确认，细节仅向厂商公开
2015-09-25： 细节向核心白帽子及相关领域专家公开
2015-10-05： 细节向普通白帽子公开
2015-10-15： 细节向实习白帽子公开
2015-10-30： 细节向公众公开
简要描述：
千里之外，溃于蚁穴。
详细说明：
济源农商行在线考试系统后台弱口令，导致总行&各支行所有员工用户名/姓名/所属部门/个别邮箱身份证等信息泄露及后台全部功能操作...
漏洞证明：
济源农商行在线考试系统后台登录存在弱口令（admin/admin）
后台登录地址：http://222.140.93.21:8090/wis18/login/manalogin.jsp
成功登录后台，包含10大功能。（功能真不少啊）
挑几个功能看看:
1.人员管理
包含了济源农商总行和各支行共643个员工的用户姓名、登录名、所属部门，以及个别用户的邮箱、身份证。
除此之外还可以对每个员工信息进行操作，功能包括：修改密码、人员查看、修改人员、目录调整、删除等
可修改任何员工登录密码（我是个好人，嘿嘿）
2.考试管理
3.权限管理
可以添加用户、群组等
4.报表管理
好多功能，截个图自己看吧。
5.系统管理
系统设置包含了首页目录属性、修改管理员密码、允许登录后台管理IP区域、email设置等功能。
大晚上的就简单看了下，功能很多，感觉系统比较重要，还有好多上传的功能，感觉能拿shell，明天继续测试…
修复方案：
设置复杂密码。
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2015-09-15 08:10
厂商回复：
CNVD确认并复现所述情况,已经转由CNCERT向银行业信息化主管部门通报,由其后续协调网站管理单位处置.
最新状态：
暂无