当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-05783

漏洞标题：21CN分站列目录+弱口令+大量数据泄露

相关厂商：中国电信

漏洞作者： J4nker

提交时间：2012-04-04 19:27

修复时间：2012-05-19 19:28

公开时间：2012-05-19 19:28

漏洞类型：重要敏感信息泄露

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-04-04： 细节已通知厂商并且等待厂商处理中
2012-04-08： 厂商已经确认，细节仅向厂商公开
2012-04-18： 细节向核心白帽子及相关领域专家公开
2012-04-28： 细节向普通白帽子公开
2012-05-08： 细节向实习白帽子公开
2012-05-19： 细节向公众公开

简要描述：

网站上说还可以定位，不知道可不可以。没测试。
后台有弱口令 phpmyadmin的问题

详细说明：

漏洞证明：

http://zhao.21cn.com/admin/phpmyadmin/setup/index.php?check_page_refresh=1&token=3fc84383b2c1967f6c85a5f294873e04&page=servers&mode=add&submit=%E6%96%B0%E5%BB%BA%E6%9C%8D%E5%8A%A1%E5%99%A8#tab_Server


修复方案：

这个我不知道。

版权声明：转载请注明来源 J4nker@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2012-04-08 19:01

厂商回复：

或许是网络问题或网站已经整改，CNVD一直未复现所述过程，根据图片确认，同样会进入处置流程，协调涉事单位集团总部处置。
对该漏洞评分如下：
CVSS评分：(AV:R/AC:L/Au:NR/C:C/A:N/I:N/B:N) Score:7.79（最高10分，高危)
即：远程攻击、攻击难度低、不需要用户认证，对机密性造成完全影响，不影响可用性和完整性。
技术难度系数：1.0(一般)
影响危害系数：1.4(较严重，涉及用户信息以及在线业务系统)
综合评分：7.79*1.0*1.4=10.906

最新状态：

暂无

漏洞评价：

评论

  1. 2012-04-04 19:43 | 店小弎 ( 实习白帽子 | Rank:93 漏洞数:13 | 关注web安全)

    在群里我跟JSCKS都没有发 你跑来发 无言。

  2. 2012-04-04 20:03 | J4nker ( 普通白帽子 | Rank:136 漏洞数:35 | I have a dream)

    @店小弎 Jacks搞过，问个东西都不回，自己去问他吧。

  3. 2012-04-04 20:10 | 店小弎 ( 实习白帽子 | Rank:93 漏洞数:13 | 关注web安全)

    @J4nker 你敢说第一个是你发现的？ 你自己懂的，

  4. 2012-04-04 20:16 | J4nker ( 普通白帽子 | Rank:136 漏洞数:35 | I have a dream)

    @店小弎 发现的不是我，但进去是我自己进去的。也不是你们让我进去的。

  5. 2012-04-05 00:36 | Rookie ( 普通白帽子 | Rank:288 漏洞数:78 | 123)

    “你敢说你是第一个发现的”哎......老是看到这句话。你自己不发出来 别人也不能发出来吗？

  6. 2012-04-05 13:02 | 天行健 ( 路人 | Rank:20 漏洞数:3 | 业余信息安全爱好者，没事了玩一玩)

    @Rookie 很多人觉得被黑的站就是个坑，自己占了，别人就不能占了，很扯淡的说法!有问题自己不发，别人发了就发了呗，总不能留着让Anonymous去黑吧？

  7. 2012-04-05 13:19 | 三叶草 ( 路人 | Rank:14 漏洞数:5 | 幸福是靠自己努力的)

    @天行健 恩，同意！那个1毛钱定报纸、定肯德基...都不是同一个人发的...

  8. 2012-04-05 20:22 | x0ers ( 路人 | Rank:25 漏洞数:4 | 专注计算机：开机关机重启20年。)

    是我发个毛！要发就发鸡肋！还真以为厂商感激你们啊.哈哈！

  9. 2012-04-05 21:45 | Rookie ( 普通白帽子 | Rank:288 漏洞数:78 | 123)

    @x0ers 你如果是为了让厂商感激的话 个人感觉你没必要来乌云.

  10. 2012-04-06 20:20 | x0ers ( 路人 | Rank:25 漏洞数:4 | 专注计算机：开机关机重启20年。)

    @Rookie 哟嘿！

  11. 2012-04-08 23:30 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @Rookie @x0ers 个人觉得一方面是提高自己做技术沉淀，一方面能够帮助到厂商的吧

  12. 2012-05-20 01:40 | wdlei ( 路人 | Rank:23 漏洞数:6 | 安全界里的年轻人。)

    @xsser 弱弱的问下 新闻媒体的漏洞不审核的吗？

  13. 2012-05-20 10:47 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    @wdlei 我也不清楚wooyun的审核标准。。哥军工，银行的漏洞都没被通过。而且拿到shell了的