当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0144159

漏洞标题：财人汇网络公司某处设计缺陷导致项目源代码泄露\HR微博可控

相关厂商：杭州财人汇网络有限公司

漏洞作者： 路人甲

提交时间：2015-09-30 10:17

修复时间：2015-11-14 10:18

公开时间：2015-11-14 10:18

漏洞类型：敏感信息泄露

危害等级：高

自评Rank：15

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-09-30： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-11-14： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

我们致力于为证券机构提供互联网金融整体解决方案，平台横跨移动和PC端，业务涵盖网上开户、业务办理、产品商城、理财融资、账户管理、金融社区等，全面打造提供优质体验的券商互联网金融前台业务平台。公司承建了海通证券、中金公司、财通证券、财富证券、浙商证券、国金证券、东吴证券、西南证券等多家券商的网上开户系统、网上营业厅、手机开户、手机网厅、网上商城等多个项目。

详细说明：

http://www.cairenhui.com/case.html
客户

0.jpg


http://mail.cairenhui.com 可暴力破解

wangwei	
lijie	
wangtao	
zhangjun	
liyong	
liuyan	
chenjing			
yukan


密码123456

8.jpg


SSH KEYs

9.jpg


可利用找回密码登陆git
http://git.cairenhui.com/users/sign_in

5.jpg


各种项目源代码泄露

6.jpg


7.jpg


工资单

11.jpg


某个HR的邮箱，各种简历泄露

12.jpg


HR微博可控

HR微博.jpg


类似管理员的账号

1.jpg


各种员工信箱可进一步精准爆破

"[email protected]" <[email protected]>，<[email protected]>,  华迪 <[email protected]>,  孔德勇 
<[email protected]>,  陈辽勇 <[email protected]>,  周志超 
<[email protected]>,  胡锋 <[email protected]>,  程文文 
<[email protected]>,  孙艳永 <[email protected]>,  肖恩 
<[email protected]>,  叶金钢 <[email protected]>,  徐涛 
<[email protected]>,  廖辉 <[email protected]>,  方亮杰 
<[email protected]>,  向慧 <[email protected]>,  刘燕 
<[email protected]>,  周光祖 <[email protected]>,  管辉 
<[email protected]>,  唐兰杰 <[email protected]>,  谈锋 
<[email protected]>,  吴艳兰 <[email protected]>,  魏俊波 
<[email protected]>,  李程 <[email protected]>,  黄玲 
<[email protected]>,  陈子典 <[email protected]>,  
"[email protected]" <[email protected]>,  lianglu 
<[email protected]>,  lijie <[email protected]>,  huangcong 
<[email protected]>


漏洞证明：

如上

修复方案：

修改强密码~
验证码

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：15 (WooYun评价)