漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0162858
漏洞标题：河北省乡镇卫生管理系统账号大批量弱口令（涉及河北全省人员档案身份证号联系方式\已有弱口令暴漏300W身份证号\联系方式等）
相关厂商：cncert国家互联网应急中心
漏洞作者： 路人甲
提交时间：2015-12-20 11:50
修复时间：2016-02-06 10:45
公开时间：2016-02-06 10:45
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-12-20： 细节已通知厂商并且等待厂商处理中
2015-12-24： 厂商已经确认，细节仅向厂商公开
2016-01-03： 细节向核心白帽子及相关领域专家公开
2016-01-13： 细节向普通白帽子公开
2016-01-23： 细节向实习白帽子公开
2016-02-06： 细节向公众公开
简要描述：
河北省乡镇卫生管理系统账号大批量弱口令（涉及河北全省人员档案身份证号联系方式，已有弱口令暴漏300W身份证号，联系方式）
详细说明：
http://**.**.**.**:20000/hebwspt/
选择秦皇岛市，乡镇系统：
账号：xzws130321000010
密码：123456
漏洞证明：
只能一个一个镇看，每个镇有几万数据
可以根据病况筛选
可见该帐号有54W用户档案
可以看到身份证号，联系方式，以及各种病况
同样 ，秦皇岛市 乡镇系统 还有以下若、弱口令账号：
xzws130321000010 青龙满族自治县
xzws130302000030 海港区
xzws130304000010 北戴河区
xzws130302000040
xzws130302000140
xzws130302000120
xzws130302000110
xzws130302000010
xzws130322001030
xzws130322001100
xzws130322000020
xzws130322000040
xzws130322000100
xzws130303000110
xzws130303000100
xzws130304000040
xzws130304000030
xzws130321001210
xzws130321001240
xzws130321000140
xzws130321001440
xzws130321001430
xzws130321001420
xzws130321001410
zws130321001400
xzws130321001340
xzws130321001330
xzws130321001320
xzws130321001300
xzws130321001230
xzws130321001220
xzws130321001200
xzws130321001140
xzws130321001130
xzws130321001120
xzws130321001100
xzws130321001040
xzws130321001030
xzws130321001010
xzws130321000430
xzws130321000440
xzws130321000420
xzws130321000410
xzws130321000400
xzws130321000340
xzws130321000330
xzws130321000320
xzws130321000310
xzws130321000300
xzws130321000210
xzws130321000200
xzws130321000130
xzws130321000120
xzws130321000110
xzws130321000100
xzws130321000020
xzws130322001110
xzws130322001420
xzws130322001410
xzws130322001400
xzws130322001340
xzws130322001310
xzws130322001300
xzws130322001240
xzws130322001220
xzws130322001020
xzws130322000440
xzws130322000420
xzws130322000410
xzws130322000340
xzws130322000320
xzws130322000310 昌黎县的一堆账号
xzws130322000300
xzws130322000240
xzws130322000220
xzws130322000200
xzws130322000110
xzws130323000210
xzws130323000320
xzws130323000310 抚宁县的一堆账号
xzws130323000300
xzws130323000100
xzws130323000170
xzws130323000190
xzws130323000280
xzws130323000330
xzws130323000340
这些仅仅是秦皇岛市乡镇系统，相信河北其他市也有这情况，验证码完全是摆设，不会变动，如果有心，拿到河北7000W用户数据 应该不是没可能
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2015-12-24 15:23
厂商回复：
CNVD确认并复现所述漏洞情况，已经转由CNCERT下发给河北分中心，由河北分中心后续协调网站管理单位处置。
最新状态：
暂无