漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0137917
漏洞标题：北京人事局某平台设计不当可能导致部分公民居住证信息存在风险
相关厂商：北京人事局某平台
漏洞作者： 指尖上的故事
提交时间：2015-09-01 09:56
修复时间：2015-10-18 17:14
公开时间：2015-10-18 17:14
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-09-01： 细节已通知厂商并且等待厂商处理中
2015-09-03： cncert国家互联网应急中心暂未能联系到相关单位，细节仅向通报机构公开
2015-09-13： 细节向核心白帽子及相关领域专家公开
2015-09-23： 细节向普通白帽子公开
2015-10-03： 细节向实习白帽子公开
2015-10-18： 细节向公众公开
简要描述：
北京人事局某平台设计不当可能导致部分公民居住证信息存在风险
详细说明：
这里是登录口---选择口令方式登录（经过测试发现这个登录处用户名，就是姓名）
Burp抓包后--数据明文传输--没验证码--没登录次数限制
网上找了一批姓名做用户名字典 密码就用弱口令
只为证明漏洞的存在性 并没做大规模爆破...
简单的爆破一下 爆破出来了几百个用户....
登录后可看到居住证详细信息（姓名 身份证 证件照 电话 邮箱 户籍地址 居住地址 学历 学历证书编号 毕业学校 工作单位 职位等等...）貌似跟公安局查的一样详细
登录后账户有几种
1.一个用户名只有一个人的居住证信息
2.一个用户名有大量居住证的信息（这个用户属于某个单位,内有员工的居住证信息）
3.留学生信息
4.引进人才信息
5.等等...
所以泄漏的信息非常的多............
漏洞证明：
这里随机登录截图证明，其它的管理员自行登录验证....
登录后就可以像以下这样的信息
以下是成功爆破的用户（管理员可自行测试真实性）
初步预算信息量在287万....如果加强爆破力度..可想想后果
修复方案：
加强安全登录处管理
版权声明：转载请注明来源 指尖上的故事@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2015-09-03 17:14
厂商回复：
CNVD确认并复现所述情况，已经转由CNCERT下发给北京分中心，由其后续协调网站管理单位处置。同时抄报给北京市政府信息化主管部门。
最新状态：
暂无