漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-034342
漏洞标题：某快递公司官网客服系统存在弱口令和XSS
相关厂商：全封快递
漏洞作者： Michael.Tuan
提交时间：2013-08-15 10:17
修复时间：2013-09-29 10:18
公开时间：2013-09-29 10:18
漏洞类型：后台弱口令
危害等级：高
自评Rank：16
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-15： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-09-29： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
在网上和某快递客服咨询时，发现聊天系统存在XSS，后经测试发现同时存在后台漏洞。
详细说明：
【客服后台管理弱口令】
因为该快递公司使用第三方客服系统，找到后台登录地址:
http://www.qfkd.com.cn/zxkf/Admin/SYSTEM/adminLogin.aspx 输入用户名密码默认admin后成功登录。进去后可以获得客服信息操作权限。简单浏览了下一些信息，查看别人的留言等。这些信息可能会被诈骗人员利用。另外获得后台权限后，深入的话很有可能入侵整个网站及服务器。
【XSS漏洞】
1.打开客服聊天页面：http://www.qfkd.com.cn/zxkf/powertalk/im/chat.aspx
2.在聊天输入框里加入<script>alert(1)</script>,然后发送发现正常弹出该警告框。猜测客服那里也可以看到。
漏洞证明：
修复方案：
1.过滤聊天窗口js代码
2.修改后台登录页面地址以及帐号密码。
版权声明：转载请注明来源 Michael.Tuan@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝