某上市公司办公系统漏洞泄露账号信息及企业资料

漏洞概要

缺陷编号:WooYun-2014-054209

漏洞标题:某上市公司办公系统漏洞泄露账号信息及企业资料

相关厂商:泛微

漏洞作者:龙龙

提交时间:2014-03-21 16:09

公开时间:2014-05-05 16:10

漏洞类型:应用配置错误

危害等级:中

自评Rank:10

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2014-03-21: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-05-05: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

配置不当,泄露应用敏感日志,可基于敏感信息登陆系统获取企业资料,获取SHELL

详细说明:

ox01:办公系统登陆入口:http://oa.yuhong.com.cn/login/Login.jsp?logintype=10X02:查看日志:http://oa.yuhong.com.cn/log/ecology

根据insert语句得知MD5加密的密码,通过解码后得到密码:116021,与用户ID一致。0X03:登陆系统

0X04:上传小马获取SHELL,或者干点其它事....

漏洞证明:

修复方案:

你懂的,找厂商

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

评价

  1. 2010-01-01 00:00 wefgod 白帽子 | Rank:1438 漏洞数:124)

    为什么没看出获取到shell?