当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-062866

漏洞标题：某大学邮箱大量学生及家长信息泄露，包括身份证，家庭住址，手机号码等

相关厂商：青岛大学

漏洞作者： 路人甲

提交时间：2014-05-30 12:57

修复时间：2014-06-04 12:57

公开时间：2014-06-04 12:57

漏洞类型：用户资料大量泄漏

危害等级：中

自评Rank：10

漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-30： 细节已通知厂商并且等待厂商处理中
2014-06-04： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

某学校最近在全校大规模的统计学生和家长的信息，包括中学信息，家长的姓名，身份证号码，手机号码，家庭住址等等。但是接受这些报表的邮箱却存在信息泄露的风险。

详细说明：

各学院：
　　　　为促进学生工作规范化、信息化建设，现需对学生工作基础信息进行统计，有关事宜通知如下：
　　　　一、统计内容
　　　　本次数据统计分为班级数据、在校本专科学生基础数据、在校本专科学生毕业中学、家庭数据三部分。
　　　　1 班级数据统计
       分学院、分年级对各班级数据进行统计，2014届毕业生的班级数据不需统计。
　　　　2 在校本专科学生基础数据统计
　　　　以学院为单位对学生基础数据进行统计，2014届毕业生的基础数据不需统计。
　　　　3 在校本专科学生毕业中学、家庭数据统计


2014-05-30 12:19:39 的屏幕截图.png


可以看出这是一个面向全校的信息采集。
通知要求5月30号下午下班之前之前提交学生毕业中学和家庭数据，6月6号之前提交学生基础数据和班级数据。
我们可以看到这个邮箱和电话号码，而且很明显邮箱后面就是电话号码，我们尝试使用这个电话号码登陆邮箱，结果。。

2014-05-30 12:22:12 的屏幕截图.png


现在还没到发送报表的截止时间，所以才有9个邮件。如果全校的报表都发送之后，再出现信息泄露事故后果会很严重。

漏洞证明：

我觉得两张图就够了

2014-05-30 12:27:46 的屏幕截图.png


2014-05-30 12:27:56 的屏幕截图.png

修复方案：

技术再发达、安全软件再高级，网络安全最终还是败在人身上。在多数情况下，疏忽并不在于技术，而在于相应岗位的人未尽到应尽的责任。
加强监管，避免弱口令，不随便收集学生的信息！
声明：上面的截图仅用于漏洞证明，已经打码，本人没有继续查看其他邮件和下载任何数据！

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-06-04 12:57

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2014-05-30 15:50 | T0XD88 ( 路人 | Rank:0 漏洞数:2 | 会写代码的心理咨询师)

    题目是某大学，相关厂商又把青岛大学写出来了，这是什么思想。。。

  2. 2014-05-31 09:35 | 迦南 ( 路人 | Rank:14 漏洞数:11 | 我不是玩黑，我就是认真)

    @T0XD88 真相了

  3. 2014-06-04 19:15 | 侠之心 ( 路人 | Rank:6 漏洞数:3 | 我是小白 请各位多多指教)

    目测楼主是青岛大学的

  4. 2014-06-04 20:33 | 迦南 ( 路人 | Rank:14 漏洞数:11 | 我不是玩黑，我就是认真)

    这个更像是社工。。。。。