北京教育局弱口令泄漏大量学生姓名+身份证号

漏洞概要

缺陷编号:WooYun-2013-019317

漏洞标题:北京教育局弱口令泄漏大量学生姓名+身份证号

相关厂商:北京教育局

漏洞作者:safe121

提交时间:2013-03-02 11:30

公开时间:2013-04-14 11:31

漏洞类型:用户资料大量泄漏

危害等级:低

自评Rank:1

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2013-03-02: 细节已通知厂商并且等待厂商处理中
2013-02-28: 厂商已经确认,细节仅向厂商公开
2013-03-10: 细节向核心白帽子及相关领域专家公开
2013-03-20: 细节向普通白帽子公开
2013-03-30: 细节向实习白帽子公开
2013-04-14: 细节向公众公开

简要描述:

北京教育局弱口令泄漏大量学生姓名+身份证号

详细说明:

http://**.**.**.**/Login.aspx部分区县级用户密码为默认111111"北京有16区2县分别为:东城区、西城区、朝阳区、崇文区、海淀区、宣武区、石景山区、门头沟区、丰台区、房山区、大兴区、通州区、顺义区、平谷区、昌平区、怀柔区和延庆县、密云县。其中东城区、西城区、朝阳区、崇文区、宣武区是市区比较繁华,剩下的都较市中心偏远,还有的像大兴区、通州区、顺义区、平谷区、昌平区、怀柔区和延庆县、密云县 以前不是北京的区、县,是单独的县,但后来都划为北京的区、县了"dongcheng/111111xicheng/111111shijingshan/111111mentougou/111111fangshan/111111daxing/111111tongzhou/111111pinggu/111111且可以查看学生的身份证号和姓名网络实名制不就这两个么。。。

漏洞证明:

http://**.**.**.**/Login.aspx部分区县级用户密码为默认111111"北京有16区2县分别为:东城区、西城区、朝阳区、崇文区、海淀区、宣武区、石景山区、门头沟区、丰台区、房山区、大兴区、通州区、顺义区、平谷区、昌平区、怀柔区和延庆县、密云县。其中东城区、西城区、朝阳区、崇文区、宣武区是市区比较繁华,剩下的都较市中心偏远,还有的像大兴区、通州区、顺义区、平谷区、昌平区、怀柔区和延庆县、密云县 以前不是北京的区、县,是单独的县,但后来都划为北京的区、县了"dongcheng/111111xicheng/111111shijingshan/111111mentougou/111111fangshan/111111daxing/111111tongzhou/111111pinggu/111111且可以查看学生的身份证号和姓名网络实名制不就这两个么。。。

修复方案:

改密码,多步认证

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:12

确认时间:2013-02-28 23:10

厂商回复:

CNVD确认并复现所述情况,已在28日转由CNCERT作为重要事件通报北京市政府信息化主管部门,由其进一步协调涉事单位处置。按配置缺陷事件进行评分(不参考漏洞标准),rank 12

最新状态:

暂无

评价

  1. 2010-01-01 00:00 风萧萧 白帽子 | Rank:874 漏洞数:67)

    碉堡

  2. 2010-01-01 00:00 无敌L.t.H 白帽子 | Rank:21 漏洞数:4)

    洞主开门,你的录取通知书到了。

  3. 2010-01-01 00:00 残影小L 白帽子 | Rank:10 漏洞数:2)

    V5

  4. 2010-01-01 00:00 retaker 白帽子 | Rank:1 漏洞数:1)

    快查查楼上的是哪个学校哪个班的