漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0159364
漏洞标题：华东政法大学某网站弱口令
相关厂商：华东政法大学
漏洞作者： 管理员
提交时间：2015-12-10 09:42
修复时间：2016-01-25 18:01
公开时间：2016-01-25 18:01
漏洞类型：后台弱口令
危害等级：中
自评Rank：8
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-12-10： 细节已通知厂商并且等待厂商处理中
2015-12-15： 厂商已经确认，细节仅向厂商公开
2015-12-25： 细节向核心白帽子及相关领域专家公开
2016-01-04： 细节向普通白帽子公开
2016-01-14： 细节向实习白帽子公开
2016-01-25： 细节向公众公开
简要描述：
昨天xss的洞没通过，今天我又来了，这次希望获得邀请码，让我向大牛们学习！
详细说明：
今天的漏洞我不知道该提交“弱口令”还是“成功的入侵事件”，权衡之后我选了后者，因为这个问题不只是弱口令那么简单，这个站已经被别人上传了木马和非法网页，所以我觉得后者更严重。要声明的是，弱口令是我习惯性的输入admin碰巧登陆的，而我进去的那一天就发现网站早已被入侵了。（我登陆之后没有破坏或窃取任何数据。）
用户名密码都是admin
漏洞证明：
这是后台：
![9D47]MT7ZUF%QS1J5WX{E_B.jpg](http://wimg.zone.ci/upload/201512/081523408163e3c22c2f031042d62bb362e2205c.jpg)
这是大马所在目录：
![`BG8VTA9A6J]UVAKM1RYARD.jpg](http://wimg.zone.ci/upload/201512/08152945c71da68d3ae2b06973801e73eec0f863.jpg)
这是后门：
![CQH[J`6{$%PM2L`}(_BE2]9.jpg](http://wimg.zone.ci/upload/201512/08153025a94a1c4f731c37dbc4e74f910bde48d7.jpg)
这些都是非法文件（其他目录也有，很多）：
这是非法文件打开后的页面：
更重要的是，用户身份证号等数据面临威胁：
修复方案：
总的来说网站很危险，需要修改用户名和密码，清除后门和非法文件，修补网站漏洞，加强服务器安全排查，因为服务器上还有几个网站，不要殃及那些网站。
版权声明：转载请注明来源 管理员@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2015-12-15 09:40
厂商回复：
通知处理中
最新状态：
暂无