漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0138353
漏洞标题：某招聘网站后台弱口令导致所有简历信息泄漏会员信息泄漏
相关厂商：IT能人网
漏洞作者： we8_
提交时间：2015-09-02 10:32
修复时间：2015-10-17 10:34
公开时间：2015-10-17 10:34
漏洞类型：后台弱口令
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-09-02： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-10-17： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
审核GG辛苦了
详细说明：
www.itnrw.com/admin 后台用户名:admin 密码:admin
进入之后可以看到的信息有很多，例如会员管理，广告申请，广告驳回。我感觉和一个数据库没什么区别了，那么在这样大的权限下还这么没安全意识的话就是你们的不对了。
1、首先说权限的问题。
你把权限设置的很大就会和数据库平级，虽然说也许你的上传过滤做的很好，获得不到服务器的权限，但是其实最重要的就是用户的数据。但是在您们的后台中，我看到了简历用户数据，会员用户等等。
2、网站后台逻辑
当我进入后台我第一眼看的其实是验证码，而且貌似验证码做的很高科技的样子，浮动可动的那种，我觉得爆破是不是没戏了。但是我输入了一次 U;admin P;123456后我发现您家验证码居然不刷新。。。这个很让我费解，所以在验证码处也要去做改进。
3、后台调用表
后台就是后台，数据库就是数据库，我觉得你在后台中显示数据库的表名什么的是不对的。所以我觉得在管理操作log这个东西没必要在后台中显示，建议您增加一个管理员登陆纪录和IP的记录。
漏洞证明：
没多截图，只是这一个。
修复方案：
有很多的网站管理员把后台的权限放的很大，我个人感觉，如果是admin的情况下，那么也要对敏感信息进行多权限设置(二级密码、三级密码)，为了用户的隐私来考虑的话那么其实会有很多办法，例如这个网站的例子就是权限设置的很大，很死，而且不能保证密码的复杂度，另外，后台的验证码虽然是'跳跳跳'的，但是不能自动刷新，可以锁死验证码后进行爆破，其实很危险。所以建议管理们讲用户数据放在第一位，多一级权限就多一层保证。:)
版权声明：转载请注明来源 we8_@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝