漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0166658
漏洞标题：安徽人才网泄露该网站管理档案全部人才信息(保守估计几十万)(姓名,生日,性别,毕业院校,身份证等)
相关厂商：安徽人才网
漏洞作者： 逆流冰河
提交时间：2016-01-02 06:28
修复时间：2016-02-20 15:48
公开时间：2016-02-20 15:48
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-01-02： 细节已通知厂商并且等待厂商处理中
2016-01-08： 厂商已经确认，细节仅向厂商公开
2016-01-18： 细节向核心白帽子及相关领域专家公开
2016-01-28： 细节向普通白帽子公开
2016-02-07： 细节向实习白帽子公开
2016-02-20： 细节向公众公开
简要描述：
happy new year~~~~~~~~
详细说明：
1,这些网站,用的人还挺多,可以信息泄露的太随意了,只要想得到,基本都可以
2,URL:http://**.**.**.**/Rsdl/dacx.aspx
3,本来我以为支持"%",我就不费事了,结果不支持,于是习惯的输入了:李伟
4,说句实在话,这些信息就不应该随便被查到,不过没有身份证,于是我继续寻找,点击[缴档案管理费]
5,好吧,还是没有找到身份证.....,于是习惯的对着打了马赛克的身份证号码F12一下,
然后检索没有打"*"的前几位,看看会不会在页面上有
6,功夫不负有心人
7,为什么说是全站呢?就是把姓氏和汉字拼起来,就能获取安徽人才的信息了,
没时间,不写程序跑了,主要是提示作用
漏洞证明：
人才信息也是一个人的隐私,请注意保护
修复方案：
人才信息也是一个人的隐私,请注意保护
版权声明：转载请注明来源 逆流冰河@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2016-01-08 16:53
厂商回复：
CNVD确认并复现所述漏洞情况，已经转由CNCERT下发给安徽分中心，由安徽分中心后续协调网站管理单位处置。
最新状态：
暂无