漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0116280
漏洞标题：某大学全校学生信息侧漏(姓名,手机号,银行卡号，父母姓名，父母手机号,小学初中高中学校etc)
相关厂商：CCERT教育网应急响应组
漏洞作者： DloveJ
提交时间：2015-05-26 16:35
修复时间：2015-05-31 16:36
公开时间：2015-05-31 16:36
漏洞类型：任意文件遍历/下载
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-26： 细节已通知厂商并且等待厂商处理中
2015-05-31： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
为了手机而奋斗！手机坏了，换一个！
详细说明：
通过这个地址我们输入一个名字，就我同学的吧！然后查到学号!
用户名密码都是学号，这里默认是都一样。但是有的已经改了！只是他没有改！
进去之后，点击学工系统！
自动跳转到http://stu.hnust.edu.cn/xg/application/main.jsp
点击个人信息>个人档案！
下面是个人档案，相当详细！
这仅仅是一个人，那么怎么做到全部遍历呢？？
注意：
下面我们再次点击个人档案的时候抓包！
我们发现成功看到了别人的信息，这信息相当全啊！
漏洞证明：
给个高rank，我还要换手机！
修复方案：
版权声明：转载请注明来源 DloveJ@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-05-31 16:36
厂商回复：
最新状态：
暂无