苏宁某系统修复不当导致可再getshell

漏洞概要

缺陷编号:WooYun-2014-089511

漏洞标题:苏宁某系统修复不当导致可再getshell

相关厂商:江苏苏宁易购电子商务有限公司

漏洞作者:路人甲

提交时间:2014-12-31 15:52

公开时间:2015-01-05 15:54

漏洞类型:成功的入侵事件

危害等级:中

自评Rank:10

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2014-12-31: 细节已通知厂商并且等待厂商处理中
2014-12-31: 厂商已查看当前漏洞内容,细节仅向厂商公开
2015-01-05: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

Rt。安全无小事。

详细说明:

ERP集团报表系统http://erp.suning.com.cn/service/~iufo/com.ufida.web.action.ActionServlet?action=nc.ui.iufo.login.LoginAction由于厂商弱口令修复不全面,存在漏网之鱼。账号zhangxiaohong2 密码 888888可进入系统,然后就是按照之前白帽子方式进行getshell了具体危害看以下证明。

漏洞证明:

1、HR系统

2、疑似3389账号密码

3、数据库信息

4、整站备份

5、

修复方案:

1、修复弱口令2、禁止任意文件上传

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-01-0515:54

厂商回复:

最新状态:

暂无

评价

  • N/A