漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-091836
漏洞标题：沈阳机场机务部网页未授权访问
相关厂商：沈阳机场机务部
漏洞作者： Zhangmeng
提交时间：2015-01-21 17:06
修复时间：2015-03-07 17:08
公开时间：2015-03-07 17:08
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-01-21： 细节已通知厂商并且等待厂商处理中
2015-01-26： 厂商已经确认，细节仅向厂商公开
2015-02-05： 细节向核心白帽子及相关领域专家公开
2015-02-15： 细节向普通白帽子公开
2015-02-25： 细节向实习白帽子公开
2015-03-07： 细节向公众公开
简要描述：
额。。去协议航站的网页看看，发现了些安全问题。。
详细说明：
http://218.25.119.234:8888/oa/index.asp这事网址
嗯，涉密文件不能上网。。我转了转，目录全部可以浏览。帐号和密码一样的，不过只有签收文件的功能，进入后台管理后，试了几个，只有dds有权限，，但不能上传，，只能删除，发帖，，我也是醉了。。。之后呢，继续往下看，嗯，有几份电报，下载看看，却提示无权限访问，一看呢，地址里带IP字样，结合这个网站可以列目录，于是，我决定删除一个目录名，果不其然，，进入了IP管理器。。这样的加密还有什么用处？本来以为后台是admin这类的，，，但发现不是。。好吧。。
漏洞证明：
![CJGW1)5R1NWS]424R7@}7(7.png](https://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/201501/1415004522d5791465ae275fedc72b2f494c7473.png)
<img
单位不能上QQ截图，所以涉及地址的我都没截图，，不过查IP应该查得到。。好吧，就这些.可以随便浏览目录，Ip管理器不需要认证就可以配置
修复方案：
请合理保护内部资料，MEL和TA涉及版权，部分文件涉密，请尽快处理，如果以后换网址呢，希望可以给我发一个，admin@zsjnaoc.iego.cn。。如果是应急中心处理，也烦请上报以上的要求，谢谢。。。修复吧，把iis的目录关死或者换个端口解决了。。。
版权声明：转载请注明来源 Zhangmeng@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2015-01-26 10:59
厂商回复：
CNVD确认并复现所述漏洞情况，已经转由CNCERT下发给辽宁分中心，由辽宁分中心后续协调网站管理单位处置。
最新状态：
暂无