管理员查询用户姓名、卡号的功能可未授权访问,导致攻击者可通过遍历卡号的方式获取所有用户姓名、卡号信息,关键问题是,这个校园卡服务平台的卡号默认口令为888888,部分用户可能未修改默认口令,导致攻击者获取卡号信息后,可尝试使用默认口令登录,且此平台涉及在线支付功能,与此平台可SSO登录,因此可能影响用户校园卡账户资金。
谷歌关键词:校园卡电子服务平台,可获得以下用户存在此问题。
山东大学:http://**.**.**.**/Account/SearchUserInfo
中国石油大学:http://**.**.**.**/Account/SearchUserInfo
河北工业大学:http://**.**.**.**/Account/SearchUserInfo
中国海洋大学:http://**.**.**.**/Account/SearchUserInfo
西北政法大学:http://**.**.**.**/Account/SearchUserInfo
等等等等
POC以中国石油大学为例。其他高校信息经POC测试同样有效。
使用弱口令登录查询到的用户