当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0142586

漏洞标题：信达证券某系统账号控制不严（泄露内部资料/携程卡及卡密/基金路演资料等）

相关厂商：信达证券

漏洞作者： 路人甲

提交时间：2015-09-23 18:39

修复时间：2015-11-08 17:00

公开时间：2015-11-08 17:00

漏洞类型：内部绝密信息泄漏

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-09-23： 细节已通知厂商并且等待厂商处理中
2015-09-24： cncert国家互联网应急中心暂未能联系到相关单位，细节仅向通报机构公开
2015-10-04： 细节向核心白帽子及相关领域专家公开
2015-10-14： 细节向普通白帽子公开
2015-10-24： 细节向实习白帽子公开
2015-11-08： 细节向公众公开

简要描述：

各种资料泄露

详细说明：

问题出在：http://**.**.**.**/ 进行弱口令爆破

15.png


得到多个账号弱口令

jiangyi  password 
yisiqi   password
yinxuhang password
zhagnhan  passowrd
biyu     password
wangliming password
wuyanling  password
liushaodong password
liujian   password
liucheng  password
fengjianqiao 123456
luxinfang  123456
linchennan  123456
weishengjun  123456


这里进行登录时，会跳转到http://**.**.**.**/indishare/office.nsf/(frame)/startup
需要oa换成mail方可成功登录

16.png


17.png


各种内部资料泄露：

14.png


路演ppt：

12.png


内部福利携程卡：

11.png


5000名员工：

18.png


漏洞证明：

11.png

修复方案：

修改密码

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2015-09-24 16:58

厂商回复：

CNVD确认并复现所述情况，已经转由CNCERT向证券业信息化主管部门通报，由其后续协调网站管理单位处置。

最新状态：

暂无

漏洞评价：

评论