当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0162367

漏洞标题：潍坊人力资源和社会保障局漏洞（涉及全市市民人社信息/泄露大量内部配置文档/深入内网架构）

相关厂商：潍坊人力资源和社会保障局

漏洞作者： 路人甲

提交时间：2015-12-18 13:32

修复时间：2016-02-04 17:47

公开时间：2016-02-04 17:47

漏洞类型：后台弱口令

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-12-18： 细节已通知厂商并且等待厂商处理中
2015-12-22： 厂商已经确认，细节仅向厂商公开
2016-01-01： 细节向核心白帽子及相关领域专家公开
2016-01-11： 细节向普通白帽子公开
2016-01-21： 细节向实习白帽子公开
2016-02-04： 细节向公众公开

简要描述：

详细说明：

潍坊人力资源和社会保障局 http://**.**.**.**:7001/console/login/LoginForm.jsp
存在weblogic/weblogic123 但是很诡异的事情我要提交的时候发现，密码错了，太诡异了，这边只能用通过部署的马来证明曾经是弱口令了
http://**.**.**.**:7001/wa/wa/ma3.jsp carry
通过转发进入内网，发现是vm一个虚拟的网段，嗅探了下，没什么活动的服务，
这边主要还涉及潍坊全市人的社保信息，找到了数据库的配置，select了下，数据表太多了，只证明危害。不去翻了，，
而且发现前人入侵痕迹，加了个隐藏账号~~

漏洞证明：

11111.png

2222.png

3333.png

4444.png

搜狗截图15年12月18日1046_5.png

pass.png

db.png

db1.png

db3.png

jdbc:oracle:thin:@**.**.**.**:1521:orcl
		</property>
		<property name="connection.username">system</property>
		<property name="connection.password">oracle</property>

数据库配置信息

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2015-12-22 17:43

厂商回复：

CNVD确认并复现所述漏洞情况，已经转由CNCERT下发对应分中心，由其后续协调网站管理单位处置。

最新状态：

暂无