漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-080067
漏洞标题：南航分公司内部系统弱口令导致严重信息泄漏危害
相关厂商：中国南方航空股份有限公司
漏洞作者： 路人甲
提交时间：2014-10-20 08:35
修复时间：2014-12-04 08:36
公开时间：2014-12-04 08:36
漏洞类型：用户资料大量泄漏
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-10-20： 细节已通知厂商并且等待厂商处理中
2014-10-20： 厂商已经确认，细节仅向厂商公开
2014-10-30： 细节向核心白帽子及相关领域专家公开
2014-11-09： 细节向普通白帽子公开
2014-11-19： 细节向实习白帽子公开
2014-12-04： 细节向公众公开
简要描述：
屌丝有福利了 ， 飞机票随便订了，只要你敢，，，
详细说明：
一数万旅客信息泄露，机票所有信息（身份证——电话——住址——航程——航班）可用于机票诈骗
二任意操作他人机票订单，退票，
三可以不要钱大量买机票，并且可以出票（屌丝的福利）
四短信轰炸(可以任意发送短信）
五黑屏功能好像很强大，航空公司内部查询系统，可看某重要领导行踪
（放心 我啥都没做 就进来看了几眼）
账号801 密码123abc 系统太大 研究了好久。。。
一，二，三，四， 机票—机票订单管理——查询，可以看到出票了吧 ，这应该出的真票，几千一张啊 ，我可不敢乱动
点订票员可以看到订单吧 什么信息都有吧 ，在看订单下面 可发短信，退票，什么行程单什么的吧 ，退票的吧，有图为证。
漏洞证明：
右上角的黑屏好像很强大 航空公司内部系统？不过不会用
参见百度文库http://wenku.baidu.com/link?url=pOsRVJr6BTFsPWkdshAQ3-SR0zekg6G6-kSWBa1avmENCKempc9dj3R4V4CXzV4znhCp8Bb7mh1xfqlC_ZYcr2pgYO2OgOEFDJb9a1XxIY_
女神天天打飞机 真有钱。。。。
修复方案：
只想20rank
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2014-10-20 08:45
厂商回复：
谢谢提醒，抓紧修复
最新状态：
暂无
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)