当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0110894

漏洞标题：中石油高校毕业生招聘平台的2个安全问题

相关厂商：中国石油天然气集团公司

漏洞作者： 暮夕水寒

提交时间：2015-05-04 15:47

修复时间：2015-06-19 09:46

公开时间：2015-06-19 09:46

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：13

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-05-04： 细节已通知厂商并且等待厂商处理中
2015-05-05： 厂商已经确认，细节仅向厂商公开
2015-05-15： 细节向核心白帽子及相关领域专家公开
2015-05-25： 细节向普通白帽子公开
2015-06-04： 细节向实习白帽子公开
2015-06-19： 细节向公众公开

简要描述：

中国石油高校毕业生招聘平台存在问题
1、服务器显示文件列表，能够下载日志文件和一些照片、源代码
2、登陆后可看他人简历的部分信息

详细说明：

地址：http://zhaopin.cnpc.com.cn:80
1、可遍历的重要目录：
似乎是简历的照片：zhaopin.cnpc.com.cnhttps://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/
服务器日志文件：zhaopin.cnpc.com.cn/logs/
2、通过对服务器日志文件的分析，找出以下的URL可以看到他人部分信息（无法看到身份证号等关键信息），注意需要登录后再输入URL。（测试可以使用ID：110101201601019531，密码：123456）

个人信息：无法看到  
教育背景：zhaopin.cnpc.com.cn/CNCPRecruitmentWeb/resume/goModifyEducation.htm?selectId=a844e84cd3744a7e85a33d1de33c8e24&ismaxEducation=1&ismaxDegree=1&isfirstEducation=1&maxEducationid=a844e84cd3744a7e85a33d1de33c8e24&firstEducationid=a844e84cd3744a7e85a33d1de33c8e24
语言能力：无法看到
通讯信息：zhaopin.cnpc.com.cn/CNCPRecruitmentWeb/resume/goModifyCoumunication.htm?selectId=becfb18163f5499aae73ae3eecd43390&hiddenId=becfb18163f5499aae73ae3eecd43390
工作经验：zhaopin.cnpc.com.cn/CNCPRecruitmentWeb/resume/goModifyJobHistory.htm?selectId=f3eed44eaee547d89df1ea2123894099
获奖信息：zhaopin.cnpc.com.cn/CNCPRecruitmentWeb/resume/goModifyRewardHistory.htm?selectId=413d78e11f474e7a9049e8b1921128c9
家庭成员：zhaopin.cnpc.com.cn/CNCPRecruitmentWeb/resume/goModifyRelativesInfo.htm?selectId=ed1c1febd4a24237bdf0db81f542e9ec
其他资格：zhaopin.cnpc.com.cn/CNCPRecruitmentWeb/resume/goModifyGoResumeOther.htm?selectId=c1bd1260936d4937ab98662b82466787


以上的连接是从日志文件“zhaopin_access_20150426”中找到的。之前的ID构造似乎简单一些，比如“zhaopin_access_20141009”中

zhaopin.cnpc.com.cn/CNCPRecruitmentWeb/resume/goModifyJobHistory.htm?selectId=6572

。大部分都可以通过更改“selectId”来进行遍历。注意有的ID并不能找到对应的信息，ID都是在服务器日志文件中找到的。

漏洞证明：

证明1：照片文件泄露

1.png


2.png


证明2：日志文件泄露

3.png


无标题.png


证明3：简历部分信息泄露

4.png


5.png


修复方案：

问题其实说大不大说小不小，并没有什么太关键的信息暴露出来，也许是我的水平不足。但也必须未雨绸缪，最好还是将问题修改一下。最后请将测试账户删除，谢谢！！

版权声明：转载请注明来源 暮夕水寒@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2015-05-05 09:45

厂商回复：

非常感谢您的报告，问题已着手处理.

最新状态：

暂无

漏洞评价：

评论