WooYun.org

问题1：安徽宿州农商行官网后台存在2枚弱口令，弱口令分别是：govland/govland&2007, admin/admin123
宿州农商行后台登录地址：http://**.**.**.**/admin.php?c=index&ac=login（顺便说一下，我发现安徽所有的农商行后台管理系统都是这个“尚意网站管理系统G4.0版”...今天经过测试这个版本的后台存在存储型XSS）
接下来，选用govland/govland&2007账号登录系统

成功登录后台，系统后台功能比较多，因为涉及银行，所以涉及的操作都比较敏感,本人依旧只是看了下，未作任何修改。

浏览下重要功能操作：
1.数据库操作：
数据库备份

数据库还原：

数据库优化：

2系统管理：
站点配置管理：可以修改银行的官网地址、网站描述等内容。

点击修改看下：

后台用户管理：
可以修改管理员的密码以及删除其他管理员...

可以修改其他管理员密码等信息

文件上传管理：可以删除已经上传的文件

网站空间查看：

3.综合内容：包含的子功能很多，挑几个看下
个人金融业务：可删除、修改内容。

点击修改看下：

电子银行业务：

其他功能就不截图了，太多了！！！
再看下会员管理：一共有274个会员，会员的用户名、邮箱等信息都在这。

还可以修改会员信息，随便点击一个看下

4.栏目管理
可以添加网站栏目，以及修改网站前台信息

5:附加功能
附加功能中包含“友情链接”，可以修改URL，导致银行官网链接到任何其他非法网站。

OK，系统重要功能就看到这。
最后使用admin/admin123这个账号登录下，以表明系统存在这个弱口令：

好的，问题说完了!