漏洞概要 关注数(27) 关注此漏洞
缺陷编号： WooYun-2016-180243
漏洞标题： 263企业邮箱任意域管理员登录 ![263企业邮箱任意域管理员登录]()
相关厂商： 263通信
漏洞作者： 路人甲
提交时间： 2016-03-02 21:23
公开时间： 2016-04-17 08:55
漏洞类型： 设计缺陷/逻辑错误
危害等级： 高
自评Rank： 20
漏洞状态： 厂商已经确认
漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系
Tags标签： 无
漏洞详情
披露状态：
2016-03-02： 细节已通知厂商并且等待厂商处理中
2016-03-03： 厂商已经确认，细节仅向厂商公开
2016-03-13： 细节向核心白帽子及相关领域专家公开
2016-03-23： 细节向普通白帽子公开
2016-04-02： 细节向实习白帽子公开
2016-04-17： 细节向公众公开
简要描述：
详细说明：
企业通信管理平台：
http://macom.263.net/user.action
管理员设置，编辑管理员：
保存，抓包，如下接口：
这里username可修改为任意企业域的管理员邮箱。
选择“超级域管理员”登录：
直接登录超管后台：
用户管理，可控制企业所有邮箱，修改密码，新增邮箱等：
邮箱监控，用户收发删邮件内容：
管理员管理：
邮箱各种配置：
可跳转到EM管理平台：
企业公告管理：
应用管理：
新增邮箱测试：
添加成功：
修改密码：
这里我的测试账号是新增的，请厂商清除：
登录邮箱：
登录263云通信，可和董事长亲切交流：
漏洞证明：
换其他域，同样可以：
这里为了不影响其他公司使用，测试点到为止。
修复方案：
1、后台漏洞需重视
2、后台漏洞需重视
3、后台漏洞需重视
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2016-03-03 08:55
厂商回复：
感谢。
最新状态：
暂无
漏洞评价：
对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值
漏洞评价(共0人评价):
登陆后才能进行评分
登陆后才能进行评分
( 实习白帽子 | Rank:42 漏洞数:4 | 专业打酱油)
( 普通白帽子 | Rank:925 漏洞数:80 | 哈！躁起来！)
( 普通白帽子 | Rank:1077 漏洞数:139 | 爱吃小龙虾。)
( 核心白帽子 | Rank:1809 漏洞数:214 | 不接单、不黑产；如遇冒名顶替接单收徒、绝...)
评论