漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-022586
漏洞标题：湖南教育网某系统未授权访问，数万名学生信息泄露
相关厂商：湖南教育网
漏洞作者： 非米特尼克
提交时间：2013-04-26 21:24
修复时间：2013-06-10 21:25
公开时间：2013-06-10 21:25
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-04-26： 细节已通知厂商并且等待厂商处理中
2013-04-28： 厂商已经确认，细节仅向厂商公开
2013-05-08： 细节向核心白帽子及相关领域专家公开
2013-05-18： 细节向普通白帽子公开
2013-05-28： 细节向实习白帽子公开
2013-06-10： 细节向公众公开
简要描述：
湖南教育网某系统未授权访问，数万名学生信息泄露
详细说明：
漏洞系统为：湖南省高等教育自学考试考生个人空间 网址：zikao.hneao.cn/net
最近帮朋友找回考籍号时，无意中发现该系统有6个页面权限控制不严，可以直接访问其他考生的个人信息，并且可按考籍号进行遍历，后经核实已经被google、baidu等搜索引擎给收录，非常危险。
1、权限控制不严的页面
一个完整的考籍号包括：9111（考试院校） 0730（考期）0146（编号）
考生信息打印：http://zikao.hneao.cn/self-study/generate?exporttype=html&ks_zkz=911107300146(考籍号可遍历)&pages=0&reportname=ExamineeRepPrint&source_type=0
考生成绩：http://zikao.hneao.cn/self-study/ExamineeInfo.do?examinee_num=910803303608(考籍号可遍历)&method=exam
开考专业：http://zikao.hneao.cn/net/SchemeSpecialty.do?method=showUpdate&specialty_isn=558(可遍历)
可报考专业：http://zikao.hneao.cn/net/net/signupSiteAction.do?method=querySpecialty&site_code=032301（考点代码）
报考点：http://zikao.hneao.cn/net/pages/net/found_bkd_list.jsp?site_code=032301（考点代码）
报考点查询：http://zikao.hneao.cn/net/pages/net/found_bkd.jsp
2、遍历
考籍号911107300146、911107300147、911107300148、911107300149等进行遍历
3、收录情况验证
site:zikao.hneao.cn
漏洞证明：
1、收录情况
2、泄露的信息
修复方案：
控制权限
版权声明：转载请注明来源 非米特尼克@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2013-04-28 15:31
厂商回复：
CNVD确认并复现所述不安全参数引用情况，已在27日下班前转发给CNCERT湖南分中心，由其后续联系网站管理部门处置。
按信息泄露风险进行评分，rank 11
最新状态：
暂无