当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0132751

漏洞标题：某即时通讯软件工具短信平台弱口令（导致多个短信账号及密码，短信发送内容等信息泄露）

相关厂商：深圳市擎旗信息技术有限公司

漏洞作者： 帅克笛枫

提交时间：2015-08-09 09:03

修复时间：2015-09-23 09:04

公开时间：2015-09-23 09:04

漏洞类型：敏感信息泄露

危害等级：高

自评Rank：18

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-09： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-09-23： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

key-key e-mail 给你我的电子情书，想着你的我的幸福~网际网路是我们恋爱的咖啡屋，我的邮件满满都是你的节目~我最爱和你ICQ，聊到日出~~

详细说明：

http://www.qqtech.com/about/index.htm，如图所示：

qqt3.png

qqt4.png

加上8080端口访问，如图所示：

qqt5.png

，输入弱口令admin，如图所示：

qqt1.png

漏洞证明：

后台系统可以查看到短信账号密码，如图所示：

qqt2.png

充值管理如图所示：

qqt6.png

短信发送内容记录如图所示：

qqt7.png

短信费用及登录日志可查看到，如图所示：

qqt8.png

qqt9.png

短信连接状态，如图所示：

qqt10.png

网关信息，如图所示：

qqt11.png

服务器配置页面地址，如图所示：

qqt12.png

官方网站站点目录可以遍历，如图所示：

qqt13.png

qqt14.png


http://www.qqtech.com:8080/home.jsp
http://www.qqtech.com:9090
接口:qflag.wmgw.impl.WmgwImpl
网关名称:移动梦网
网关地址:http://61.145.229.29:7903/MWGate/wmgw.asmx
网关帐号:j21618
网关余额:96083
/222.171.148.165:58122
/222.171.180.185:3524

修复方案：

~~修复你们更专业~~

版权声明：转载请注明来源 帅克笛枫@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：15 (WooYun评价)

漏洞评价：

评论

  1. 2015-09-23 10:02 | Mark0smith ( 路人 | Rank:12 漏洞数:6 | 我更像是一个小松鼠)

    弱口令无解啊