当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0111312

漏洞标题：某安全漏洞可进入第一财经内部OA系统(不知道谁结婚顺便恭喜一下！)

相关厂商：第一财经

漏洞作者： 鸟云厂商

提交时间：2015-04-30 17:15

修复时间：2015-05-05 17:16

公开时间：2015-05-05 17:16

漏洞类型：成功的入侵事件

危害等级：高

自评Rank：12

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-04-30： 细节已通知厂商并且等待厂商处理中
2015-05-05： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

某安全漏洞可进入第一财经内部OA系统

详细说明：

第一财经协同办公系统

mask 区域 
1.http://**.**.**/


没有验证码，可爆破。
全部1000多用户吧粗略估计。
OA系统16个用户，我发在code里，麻烦审核mask

mask 区域 
*****aaa1*****
*****/aaa*****
*****g/aa*****
*****ei/a*****
*****aaa1*****
*****g/aa*****
*****g/aa*****
*****in/a*****
*****on/aa*****
*****aaa1*****
*****/aaa*****
*****/aaa*****
*****/aaa*****
*****pass*****
*****assw*****
*****n/1*****


进一个证明：

FB785F3B-B79B-46F5-AD24-5DEC85AE6FD2.png


然后探测了另外一个即时新闻编辑平台

mask 区域 
*****/123*****
*****n/12*****
*****/123*****
*****ng/1*****


证明：

51924E4A-05BE-494E-80A0-7077B094E0BD.png


最后是两枚邮箱弱口令

mask 区域 
*****xinji*****
*****angya*****

漏洞证明：

修复方案：

版权声明：转载请注明来源 鸟云厂商@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-05-05 17:16

厂商回复：

漏洞Rank：4 (WooYun评价)

最新状态：

暂无

漏洞评价：

评论

  1. 2015-04-30 17:24 | ’‘Nome ( 实习白帽子 | Rank:55 漏洞数:19 | 在此感谢 @M4sk @mango @裤裆 @泳少 @5up3r...)

    我恭喜下，大家都认识结完婚可以公布么？好给分子钱

  2. 2015-04-30 17:25 | 茜茜公主 ( 普通白帽子 | Rank:2360 漏洞数:406 | 家里二宝出生，这几个月忙着把屎把尿...忒...)

    你们这样不知道谁结婚就恭喜一下，真的好么

  3. 2015-04-30 17:26 | 鸟云厂商 认证白帽子 ( 核心白帽子 | Rank:1313 漏洞数:146 | 中国菜鸟)

    @疯狗 我觉得按这个厂商的调性来看，应该转给从cncert了

  4. 2015-05-01 00:46 | 动后河 ( 实习白帽子 | Rank:51 漏洞数:13 | ☭)

    @鸟云厂商 你好，我是替新郎收彩礼的，乌币转给我就好！

  5. 2015-05-01 07:44 | 孤独行者 ( 普通白帽子 | Rank:110 漏洞数:44 | 时光如水，总是无言。你若安好，便是晴天)

    @鸟云厂商 绝逼忽略的节奏

  6. 2015-05-05 19:38 | Blackgame ( 实习白帽子 | Rank:70 漏洞数:13 | dddd)

    哎 cncert 是什么？

  7. 2015-05-06 11:12 | JotPot ( 实习白帽子 | Rank:61 漏洞数:10 | 小菜)

    安全意识真的不足。。。邮箱什么的都可以进去。。。