漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2011-03267
漏洞标题：校园一卡通网站权限绕过获取各种隐私漏洞
相关厂商：哈尔滨新中新电子股份有限公司
漏洞作者： nforest
提交时间：2011-11-09 22:45
修复时间：2011-11-14 22:45
公开时间：2011-11-14 22:45
漏洞类型：非授权访问/权限绕过
危害等级：中
自评Rank：6
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2011-11-09： 细节已通知厂商并且等待厂商处理中
2011-11-14： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
新中新公司开发的一卡通查询系统广泛应用于国内各大高校,系统存在多处权限绕过漏洞,可以获取任意用户个人隐私信息(身份证号、照片、手机号等等)、消费记录(几点几分在哪点消费),利用这些信息可以造成更深层次的攻击...
详细说明：
1、验证码即为验证码图片URL,由于用户密码只能是6位纯数字，所以存在暴利POST提交,20分钟内可以搞定密码.
2、登录后可以访问任意用户的照片URL,系统未做权限认证.照片URL的id和用户id存在一一对应关系.
3、模拟POST提交数据包,可以在不登陆情况下获取任意用户的消费记录.
漏洞证明：
使用此系统的网站可以通过：一卡通网站查询系统 site:edu.cn 来搜索
1、验证码问题
2、未授权照片URL访问
3、伪造id,POST提交获取任意用户信息
修复方案：
整个系统存在多处非授权访问、权限绕过问题,系统需要进行完整的审核并改进...
版权声明：转载请注明来源 nforest@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2011-11-14 22:45
厂商回复：
漏洞Rank：5 (WooYun评价)
最新状态：
暂无
( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)