当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-020933

漏洞标题:国家电网某投标系统弱口令+权限绕过=>高危(5)

相关厂商:国家电网公司

漏洞作者: 马燕羊蝎子

提交时间:2013-03-29 23:11

修复时间:2013-05-13 23:11

公开时间:2013-05-13 23:11

漏洞类型:未授权访问/权限绕过

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-03-29: 细节已通知厂商并且等待厂商处理中
2013-03-30: 厂商已经确认,细节仅向厂商公开
2013-04-09: 细节向核心白帽子及相关领域专家公开
2013-04-19: 细节向普通白帽子公开
2013-04-29: 细节向实习白帽子公开
2013-05-13: 细节向公众公开

简要描述:

国家电网某投标系统弱口令+权限绕过导致数千家供应商银行卡等敏感信息泄露..
数千家供应商银行卡号,项目保证金等敏感信息泄露。。
主要是投标的各种信息..
绝对高危。。
拒绝跨省。

详细说明:

河南电力物资投标保证金管理系统
http://wzcs.ha.sgcc.com.cn:8080/bp/manager/
弱口令admin 123456


1.jpg


2.jpg


02.jpg


供应商信息泄露,2000多家。
供应商初始密码就是供应商账号,首次登陆需要用供应商的税务登记号去修改密码

漏洞证明:

权限绕过:
直接访问这个链接,可以绕过身份验证。
http://wzcs.ha.sgcc.com.cn:8080/bp/manager/index1.jsp


-1.jpg


-2.jpg


修复方案:

增加身份验证,拒绝弱口令。
还有供应商名单。。。
安全体系够呛。。
拒绝跨省

版权声明:转载请注明来源 马燕羊蝎子@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:7

确认时间:2013-03-30 08:35

厂商回复:

这个有点意思,但是公司的名称、账号一般都是公开的,这里其实未涉及太多敏感数据,同时如果你了解招投标相关事项的话,当一个标开标时,所有东西都是公开的了,目前公司所有招投标业务已统一到电子商务平台,这个系统仅仅涉及到退保证金的这个环节,不影响招投标的。

最新状态:

暂无


漏洞评价:

评论

  1. 2013-03-29 23:21 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    好快

  2. 2013-03-30 00:19 | noah ( 普通白帽子 | Rank:384 漏洞数:40 )

    国家电网注册了

  3. 2013-03-30 10:49 | 淡漠天空 认证白帽子 ( 实习白帽子 | Rank:1113 漏洞数:141 | M:出售GOV STATE NSA CIA NASA DHS Symant...)

    如同电网交易平台一样 不算十分严重吧

  4. 2013-04-10 14:12 | possible ( 普通白帽子 | Rank:373 漏洞数:32 | everything is possible!)

    这密码...到处都有

  5. 2013-05-13 23:17 | Mujj ( 实习白帽子 | Rank:58 漏洞数:4 | IDC商)

    别特么吹牛B了,中标信息都在酒桌上呢,怎么会在数据库里,你到底是天朝人吗?

  6. 2013-05-14 09:40 | iproute ( 路人 | Rank:4 漏洞数:1 | 为路由器生,为交换机死,为Ping通奋斗一辈...)

    @Mujj 楼上正解!