漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0174108
漏洞标题：巨人一处敏感信息泄露导致CEO身份证泄露(土豪公司都是开豪车的吗)
相关厂商：巨人网络
漏洞作者： 小龙
提交时间：2016-02-01 09:41
修复时间：2016-02-02 15:10
公开时间：2016-02-02 15:10
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-02-01： 细节已通知厂商并且等待厂商处理中
2016-02-02： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
绿巨人能源有限公司是由史玉柱先生创办的香港绿巨人能源有限公司全资控股的子公司，公司总注册资本4.99亿美元。总部位上海巨人集团宜山路园区的总部基地，主要从事光伏电站及电力资产开发、并购、建设、运维、投资管理等主营业务，通过并购和建设一批光伏电站资产为基础，建立起全球范围的融资体系，不断扩大资产规模，力争成为一家优质可再生能源的大型供应商。
目前，公司已完善并实施了国内光伏电站开发战略规划和布局， 绿巨人能源正期待您的加盟，共同参与这个蓬勃发展的朝阳产业！
详细说明：
可以查看大量员工身份证等信息。。
好6
测试了好久才知道原来是这样，搜嘎，用友的系统也是6的一逼
里面没通讯录，但是被我发现了另外一处可以查看用户名的，但是弱口令少的太少了，就倆队友。。
无语
真该教育下了
登录进去点击抓包
主要是获取processid 这个密文
获取方法很简单
点击新建文档
看到没
蓝色连接
右键查看元素
得到 processid=5ec9734b4a7f5c5b014a80648a090261
我们随意访问个资料，抓包替换地址
例如
董事长
总裁
执行董事
哇，好塞雷
漏洞证明：
11
修复方案：
11
版权声明：转载请注明来源 小龙@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2016-02-02 15:10
厂商回复：
绿巨人和巨人网络是平行关系，应该把漏洞提交到绿巨人下面。
最新状态：
暂无