当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-028457

漏洞标题:酷房网某后台管理员账号弱口令泄露会员资料

相关厂商:koofang.com

漏洞作者: 黑匣子

提交时间:2013-07-10 18:34

修复时间:2013-07-15 18:35

公开时间:2013-07-15 18:35

漏洞类型:未授权访问/权限绕过

危害等级:中

自评Rank:15

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-07-10: 细节已通知厂商并且等待厂商处理中
2013-07-15: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

说好的礼物呢?我还以为厂商要走我的联系方式打算跨省呢?让我等了快3月都没有等来!

详细说明:

首先看到这个漏洞
WooYun: 酷房网测试系统弱口令泄露经纪人登录帐号,可盗经纪人帐号
看到厂商的回复:
厂商回应:
危害等级:中
漏洞Rank:6
确认时间:2013-04-22 09:38
厂商回复:
正在更改密码,谢谢
我就想反正也没事就再测试下吧。
然后打开后台地址:
http://koodemontest22.koofang.com:8022/admin/AdminLoginForm.aspx?url=main.aspx
账号密码处随手输入admin admin
尼玛竟然进去了,这对你们网站1万多个经纪人的资料也太不负责了吧?
如果问题仅仅到处我就也无话可说了。
然后我就退出后台禁用JS随手输入:
../admin/left.aspx
尽然进去了,接下来就是添加个测试账号,权限和admin一样

QQ图片20130710182218.jpg

漏洞证明:

后台图.jpg

修复方案:

我不是第一个进入这个后台的,我敢说也不是最后一个,希望你们可以注重网站的安全!

版权声明:转载请注明来源 黑匣子@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2013-07-15 18:35

厂商回复:

最新状态:

暂无


漏洞评价:

评论