漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-090721
漏洞标题：大连交通大学学生信息管理系统任意查询学生信息
相关厂商：大连交通大学
漏洞作者： polarsnake
提交时间：2015-01-09 14:48
修复时间：2015-01-14 14:50
公开时间：2015-01-14 14:50
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：5
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-01-09： 细节已通知厂商并且等待厂商处理中
2015-01-14： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
大连交通大学学生信息管理系统随便登陆一个学生账户后即可任意查询修改所有学生、老师、辅导员隐私信息
详细说明：
大连交通大学学生信息管理系统随便登陆一个学生账户后即可任意查询所有学生、老师、辅导员隐私信息
首先在http://202.199.128.120/admin登陆，随便找个学生账号就好，学生账号是学生的学号，密码也是学号，只要随便找个学生的学号登陆就好，我随便找个学号：1101050113。
登陆之后如图
然后输入地址http://202.199.128.120/admin/sysuser.do?method=list，如图：
在这能够查看整个学校所有人的身份证、电话、邮箱及家庭住址家庭电话等等隐私信息，同时，任何普通用户都有最高权限可以任意修改其他人的信息及提高任何人的权限等级：
我将某个账户勾选工作人员选项，之后如图：
综上所述，整个学校的所有学生、教职员工个人信息全部泄露，任意修改，危害很大
漏洞证明：
<img src="http://p0.qhimg.com/t017dc60ba14af1bd4d.jpg" alt="" />
<img src="http://p0.qhimg.com/t012ea2f6b55b5dc5c7.jpg" alt="" />
修复方案：
给所有无关账户降权
版权声明：转载请注明来源 polarsnake@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-01-14 14:50
厂商回复：
最新状态：
暂无