云南机场集团账户体系控制不严之漫游内网大礼包/附36个账户

2017年4月14日19:05:12评论353 views字数 255阅读0分51秒阅读模式

摘要

2016-04-01：细节已通知厂商并且等待厂商处理中
2016-04-05：厂商已经确认，细节仅向厂商公开
2016-04-15：细节向核心白帽子及相关领域专家公开
2016-04-25：细节向普通白帽子公开
2016-05-05：细节向实习白帽子公开
2016-05-20：细节向公众公开

漏洞概要关注数(15) 关注此漏洞

缺陷编号： WooYun-2016-191171

漏洞标题：云南机场集团账户体系控制不严之漫游内网大礼包/附36个账户

漏洞作者：追寻

提交时间： 2016-04-01 01:00

公开时间： 2016-05-20 18:40

漏洞类型：账户体系控制不严

危害等级：高

自评Rank： 20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签：管理后台对外认证设计不合理内部系统对外

1人收藏

漏洞详情

披露状态：

简要描述：

RT
我表哥辣么多你们谁敢欺负我

详细说明：

**.**.**.**

code 区域

liusha@**.**.**.** 账户liusha密码123456
 liutao@**.**.**.** 账户liutao密码123456
 liutong@**.**.**.** 账户liutong密码123456
 liuwei@**.**.**.** 账户liuwei密码123456
 liuxing@**.**.**.** 账户liuxing密码123456
 liuyun@**.**.**.** 账户liuyun密码liuyun
 liuquan@**.**.**.** 账户liuquan密码liuquan
 liuya@**.**.**.** 账户liuya密码123456
 liuyan@**.**.**.** 账户liuyan密码123456
 liuyu@**.**.**.** 账户liuyu密码000000
 liangjuan@**.**.**.** 账户liangjuan密码123456
 linli@**.**.**.** 账户linli密码123456
 linlin@**.**.**.** 账户linlin密码123456
 gaoshun@**.**.**.** 账户gaoshun密码123456
 gaowei@**.**.**.** 账户gaowei密码123456
 gaofan@**.**.**.** 账户gaofan密码123456
 gaoshan@**.**.**.** 账户gaoshan密码123456
 hr@**.**.**.** 账户hr密码123456
 liming@**.**.**.** 账户liming密码liming
 lina@**.**.**.** 账户lina密码123456
 liqi@**.**.**.** 账户liqi密码00000
 liqin@**.**.**.** 账户liqin密码123456
 lixiang@**.**.**.** 账户lixiang密码lixiang
 lixin@**.**.**.** 账户lixin密码123456
 lizhi@**.**.**.** 账户lizhi密码123456
 lichao@**.**.**.** 账户lichao密码lichao
 lipeng@**.**.**.** 账户lipeng密码123456
 liwen@**.**.**.** 账户liwen密码123456
 lixia@**.**.**.** 账户lixia密码lixia000
 liqian@**.**.**.** 账户liqian密码123456
 licheng@**.**.**.** 账户licheng密码123456
 liuna@**.**.**.** 账户liuna密码123456
 liuna@**.**.**.** 账户zhenglei密码123456 
 zhenglei@**.**.**.** 账户zhenglei密码123456
 xiewei@**.**.**.** 账户xiewei密码123456
 xieyu@**.**.**.** 账户xieyu密码000000

漏洞证明：

**.**.**.**

code 区域

liusha@**.**.**.** 账户liusha密码123456
 liutao@**.**.**.** 账户liutao密码123456
 liutong@**.**.**.** 账户liutong密码123456
 liuwei@**.**.**.** 账户liuwei密码123456
 liuxing@**.**.**.** 账户liuxing密码123456
 liuyun@**.**.**.** 账户liuyun密码liuyun
 liuquan@**.**.**.** 账户liuquan密码liuquan
 liuya@**.**.**.** 账户liuya密码123456
 liuyan@**.**.**.** 账户liuyan密码123456
 liuyu@**.**.**.** 账户liuyu密码000000
 liangjuan@**.**.**.** 账户liangjuan密码123456
 linli@**.**.**.** 账户linli密码123456
 linlin@**.**.**.** 账户linlin密码123456
 gaoshun@**.**.**.** 账户gaoshun密码123456
 gaowei@**.**.**.** 账户gaowei密码123456
 gaofan@**.**.**.** 账户gaofan密码123456
 gaoshan@**.**.**.** 账户gaoshan密码123456
 hr@**.**.**.** 账户hr密码123456
 liming@**.**.**.** 账户liming密码liming
 lina@**.**.**.** 账户lina密码123456
 liqi@**.**.**.** 账户liqi密码00000
 liqin@**.**.**.** 账户liqin密码123456
 lixiang@**.**.**.** 账户lixiang密码lixiang
 lixin@**.**.**.** 账户lixin密码123456
 lizhi@**.**.**.** 账户lizhi密码123456
 lichao@**.**.**.** 账户lichao密码lichao
 lipeng@**.**.**.** 账户lipeng密码123456
 liwen@**.**.**.** 账户liwen密码123456
 lixia@**.**.**.** 账户lixia密码lixia000
 liqian@**.**.**.** 账户liqian密码123456
 licheng@**.**.**.** 账户licheng密码123456
 liuna@**.**.**.** 账户liuna密码123456
 liuna@**.**.**.** 账户zhenglei密码123456 
 zhenglei@**.**.**.** 账户zhenglei密码123456
 xiewei@**.**.**.** 账户xiewei密码123456
 xieyu@**.**.**.** 账户xieyu密码000000

修复方案：

你们更专业

版权声明：转载请注明来源追寻@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2016-04-05 18:33

厂商回复：

CNVD未直接复现所述情况，按照漏洞报送者所述情况整理通报，转由CNCERT下发给云南分中心，由其后续协调网站管理单位处置。

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

2016-04-01 07:52 | 追寻 ( 普通白帽子 | Rank:210 漏洞数:46 | 学习新姿势中)

1

牛小帅西西玄道都是我表哥

1# 回复此人
2016-04-05 21:45 | 随风的风 ( 普通白帽子 | Rank:259 漏洞数:96 | 微信公众号：233sec 不定期分享各种漏洞思...)

1

@追寻牛小帅我表弟

2# 回复此人
2016-05-20 21:25 | 放逐 ( 路人 | Rank:2 漏洞数:1 | 白帽子放逐Gg？得失乐与悲与Av Qq205655539)

0

qwq

3# 回复此人
2016-05-20 22:35 | 屠夫 ( 路人 | Rank:8 漏洞数:3 | 乌云最帅的白帽子)

0

@追寻牛小帅我儿子

4# 回复此人
2016-05-21 01:38 | Format_smile ( 普通白帽子 | Rank:640 漏洞数:217 | ···孰能无过，谁是谁非！)

0

@牛小帅请看楼上

5# 回复此人

漏洞概要 关注数(15) 关注此漏洞

缺陷编号： WooYun-2016-191171

漏洞标题： 云南机场集团账户体系控制不严之漫游内网大礼包/附36个账户

相关厂商： 云南机场集团

漏洞作者： 追寻