当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0151515

漏洞标题：北京黄金交易中心某系统漏洞导致大量公司\员工信息泄露（可批量登录）

相关厂商：北京黄金交易中心

漏洞作者： 路人甲

提交时间：2015-11-03 15:31

修复时间：2015-12-21 16:08

公开时间：2015-12-21 16:08

漏洞类型：敏感信息泄露

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-11-03： 细节已通知厂商并且等待厂商处理中
2015-11-06： 厂商已经确认，细节仅向厂商公开
2015-11-16： 细节向核心白帽子及相关领域专家公开
2015-11-26： 细节向普通白帽子公开
2015-12-06： 细节向实习白帽子公开
2015-12-21： 细节向公众公开

简要描述：

大量公司\员工信息泄露（可批量爆破登录）

详细说明：

北京黄金交易中心 黄金交易协同系统
系统地址：**.**.**.**
域名是：http://**.**.**.**

QQ截图20151103142211.png


泛微的系统，sql注入好像修复了，但
**.**.**.**/messager/users.data
访问获取如下内容

QQ截图20151103142338.png


bash64解码后内容如下

QQ截图20151103142423.png

漏洞证明：

部分内容如下：

<users>
<row><id>58</id><loginid>nxwang</loginid><lastname>王乃祥</lastname><sex>0</sex><subcompany>北京黄金交易中心</subcompany><department>总裁办</department><telephone></telephone><mobile>15001207194</mobile><email></email><messagerurl>/messager/images/icon_m.jpg</messagerurl><superior></superior><superiorid>0</superiorid><jobtitle>董事长</jobtitle></row>
<row><id>322</id><loginid>zhzhao</loginid><lastname>赵宗辉</lastname><sex>0</sex><subcompany>北京黄金交易中心</subcompany><department>总裁办</department><telephone>56930007</telephone><mobile>13370125555</mobile><email>zhzhao@**.**.**.**</email><messagerurl>/messager/images/icon_m.jpg</messagerurl><superior>赵宗辉</superior><superiorid>322</superiorid><jobtitle>总裁</jobtitle></row>
<row>


可批量爆破用户登录系统

QQ截图20151103144835.png


QQ截图20151103144848.png


换个用户

QQ截图20151103145059.png


QQ截图20151103145342.png


QQ截图20151103145717.png


QQ截图20151103145910.png


好多弱口令

修复方案：

补丁

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2015-11-06 16:06

厂商回复：

CNVD确认并复现所述漏洞情况，已经转由CNCERT下发对应分中心，由其后续协调网站管理单位处置。

最新状态：

暂无