漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0100530
漏洞标题：某地区计算机等级考试后台未授权访问(目测可退钱+5万多考生信息侧漏)
相关厂商：某地区计算机等级考试
漏洞作者： DloveJ
提交时间：2015-03-11 14:29
修复时间：2015-04-25 14:30
公开时间：2015-04-25 14:30
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-03-11： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-04-25： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
看到某牛卖数据，xiaobai我就看看.不说话。
详细说明：
在某群里看到某牛说卖计算机资料，包括身份证，姓名，手机号。顿时我就京呆了额，我也报了计算机，我的信息不酒侧漏了，我就亲自看看。。
0x00
某牛说他刚拖的，就在登录和找回密码页面测试sql注入。果然是没有注入，怎么办？好着急。想想会不会有命令str执行。还是没有，越来越着急了。好吧，先把我的号登上去，拿出扫描器开扫，扫到后台！
登录方式就是在正常登陆入口登录，然后访问这个页面即可！
这是我的页面
管理员页面
可以看到身份证和姓名一览无余！
0x1
随机找了三个妹子一个汉子进行登录，全部命中！
即使改了密码也可以登陆.
费劲就牛二虎之力找到个等不上去的。哈哈！我们找回密码！
明文密码，什么鬼？
0x02
最后，我们这些可怜的考生信息就被卖给了别人。都别拦我，我先哭会儿。。
漏洞证明：
如上，危害不解释，我也不知道。
修复方案：
后台加强权限验证
找回密码手机发验证码
版权声明：转载请注明来源 DloveJ@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝