中国手游某站大量弱口令泄露大量员工个人信息/工资/内部架构等

漏洞概要

缺陷编号:WooYun-2015-0127927

漏洞标题:中国手游某站大量弱口令泄露大量员工个人信息/工资/内部架构等

相关厂商:cmge.com

漏洞作者:Hxai11

提交时间:2015-07-20 19:25

公开时间:2015-09-04 10:54

漏洞类型:后台弱口令

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2015-07-20: 细节已通知厂商并且等待厂商处理中
2015-07-21: 厂商已经确认,细节仅向厂商公开
2015-07-31: 细节向核心白帽子及相关领域专家公开
2015-08-10: 细节向普通白帽子公开
2015-08-20: 细节向实习白帽子公开
2015-09-04: 细节向公众公开

简要描述:

rt

详细说明:

问题站点:http://hrm.cmge.com/我们从之前的邮箱泄露中得到一份doc,说是员工自助操作手册,于是我下来看了看,于是就有以下问题了我在doc中看到了什么看到了吗

我又看到。。

哈哈这明显是在叫我们进去看看,我随便一试进来了

密码没有更改看看我们都能干啥个人信息都出来鸟,还是个89年的妹纸,好喜欢

刷卡信息

-----ok,我们能想到,密码和账号都是工号,说是叫登陆修改,那到底有多少员工老老实实修改了,哪些没没有改呢。。。由于网站本身没有验证码和时间的设定,我们能不能够fuzz一下呢?是的,我们随机抽取了10个

之后我们fuzz看看

以389返回码的都是默认密码的,看来还是占很大比重啊比如02201是这个人的

漏洞证明:

修复方案:

急需加强员工安全意识@

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2015-07-2110:52

厂商回复:

非常感谢

最新状态:

暂无

评价