浙江福彩中心信息服务管理系统弱密码漏洞(已被黑客入侵进行扫描)

漏洞概要

缺陷编号:WooYun-2015-097226

漏洞标题:浙江福彩中心信息服务管理系统弱密码漏洞(已被黑客入侵进行扫描)

相关厂商:浙江福彩

漏洞作者:路人甲

提交时间:2015-02-16 10:33

公开时间:2015-03-31 10:34

漏洞类型:后台弱口令

危害等级:高

自评Rank:10

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2015-02-16: 细节已通知厂商并且等待厂商处理中
2015-02-19: 厂商已经确认,细节仅向厂商公开
2015-03-01: 细节向核心白帽子及相关领域专家公开
2015-03-11: 细节向普通白帽子公开
2015-03-21: 细节向实习白帽子公开
2015-03-31: 细节向公众公开

简要描述:

浙江福利彩票存在弱密码漏洞,导致客户信息系统泄露。服务器沦陷可能沦陷。

详细说明:

今天看我网站服务器日志,发现有人穷举我的后台。

复制下IP,浏览器打开

竟然打开,浙江福彩中心信息服务管理系统。随便输入用户名,提示用户不存在,输入test,密码乱写,提示密码错误,看来存在test这个用户,尝试了三次,输入密码1,竟然登录了......截几张图。初步估计,这台服务器已经被人中下了后门。

漏洞证明:

修复方案:

本人对于SHELL毫无兴趣。为了防止别用用心的人利用,所有提交漏洞下。望管理尽快检查服务器。

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2015-02-1908:43

厂商回复:

最新状态:

暂无

评价