新网的备案系统存在万能密码

2015年6月14日15:32:47评论307 views字数 226阅读0分45秒阅读模式

摘要

2014-09-13：细节已通知厂商并且等待厂商处理中
2014-09-13：厂商已经确认，细节仅向厂商公开
2014-09-23：细节向核心白帽子及相关领域专家公开
2014-10-03：细节向普通白帽子公开
2014-10-13：细节向实习白帽子公开
2014-10-28：细节向公众公开

漏洞概要关注数(14) 关注此漏洞

缺陷编号： WooYun-2014-75945

漏洞标题：新网的备案系统存在万能密码

漏洞作者： jgjsfgv

提交时间： 2014-09-13 14:18

公开时间： 2014-10-28 14:20

漏洞类型：账户体系控制不严

危害等级：高

自评Rank： 20

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签：弱口令用户敏感信息泄露敏感功能直接对外

0人收藏

漏洞详情

披露状态：

简要描述：

新网的备案系统存在万能密码可控制所有备案用户任意操作等等

详细说明：

无意中获取了一个密码。哪来的你们懂的！我没做坏事。

http://121.14.4.151:81/toIcp.action

使用admin 密码 root_qwe!@#ZB)!

任意用户使用密码 root_qwe!@#ZB)! 都可以登录

漏洞证明：

你们数据量太大我等了20分钟还没进去我直接换一个普通用户用万能密码

修复方案：

方便惹的祸

版权声明：转载请注明来源 jgjsfgv@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-09-13 14:54

厂商回复：

，小新正在玩命确认及修复中

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

2014-09-13 15:22 | B1acken ( 普通白帽子 | Rank:175 漏洞数:57 | 渣渣)

1

万能密码,6B

1# 回复此人
2014-09-13 15:58 | 李白 ( 普通白帽子 | Rank:142 漏洞数:29 )

0

太6了呀...一般万能密码直接考虑可以注入了

2# 回复此人
2014-09-15 21:00 | jgjsfgv ( 普通白帽子 | Rank:106 漏洞数:10 | www.baidu.com)

0

@李白无法注入新网还有好多洞发出来没礼物珍藏了。

3# 回复此人
2014-09-15 21:01 | jgjsfgv ( 普通白帽子 | Rank:106 漏洞数:10 | www.baidu.com)

1

@B1acken 还有更6B的洞可分享求突破

4# 回复此人
2014-09-16 11:08 | B1acken ( 普通白帽子 | Rank:175 漏洞数:57 | 渣渣)

0

@jgjsfgv 求分享

5# 回复此人
2014-09-17 10:50 | jgjsfgv ( 普通白帽子 | Rank:106 漏洞数:10 | www.baidu.com)

0

@B1acken 留Q

6# 回复此人
2014-09-17 12:22 | B1acken ( 普通白帽子 | Rank:175 漏洞数:57 | 渣渣)

0

@jgjsfgv 私信你了

7# 回复此人
2014-10-04 09:42 | 老和尚 ( 普通白帽子 | Rank:223 漏洞数:45 )

0

留Q，分享，交流

8# 回复此人
2014-10-04 13:09 | jgjsfgv ( 普通白帽子 | Rank:106 漏洞数:10 | www.baidu.com)

0

@老和尚你Q发私信

9# 回复此人
2014-10-13 18:10 | 风花雪月 ( 实习白帽子 | Rank:67 漏洞数:49 | []+[]|[]-[][][][][]%[][]|[]/[]%[][]|[]/[...)

0

求交流！

10# 回复此人
2014-10-13 18:10 | 风花雪月 ( 实习白帽子 | Rank:67 漏洞数:49 | []+[]|[]-[][][][][]%[][]|[]/[]%[][]|[]/[...)

1

留Q

11# 回复此人
2014-10-14 08:42 | jgjsfgv ( 普通白帽子 | Rank:106 漏洞数:10 | www.baidu.com)

0

@风花雪月你留Q

12# 回复此人
2014-10-28 22:22 | Jumbo ( 普通白帽子 | Rank:132 漏洞数:33 | 猫 - https://www.chinabaiker.com)

0

@jgjsfgv 775983572

13# 回复此人
2014-10-30 15:22 | Enjoy_Hacking ( 实习白帽子 | Rank:84 漏洞数:8 | 时间无言，如此这般。)

1

小新正在玩命确认及修复中

14# 回复此人
2014-10-30 15:26 | 风花雪月 ( 实习白帽子 | Rank:67 漏洞数:49 | []+[]|[]-[][][][][]%[][]|[]/[]%[][]|[]/[...)

0

@Jumbo 1332440148

15# 回复此人
2014-10-30 15:26 | 风花雪月 ( 实习白帽子 | Rank:67 漏洞数:49 | []+[]|[]-[][][][][]%[][]|[]/[]%[][]|[]/[...)

1

@jgjsfgv 1332440148

16# 回复此人

漏洞概要 关注数(14) 关注此漏洞

缺陷编号： WooYun-2014-75945

漏洞标题： 新网的备案系统存在万能密码

相关厂商： 新网华通信息技术有限公司