当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-097992

漏洞标题：华东师范大学教研平台账号控制影响6300名班主任管理权（批作业）

相关厂商：华东师范大学

漏洞作者： 刘洪泽

提交时间：2015-02-24 10:46

修复时间：2015-03-03 09:00

公开时间：2015-03-03 09:00

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-02-24： 细节已通知厂商并且等待厂商处理中
2015-03-03： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

虽然主任中班主任属于权利最小的主任，但却是所有主任中最能影响别人的^^共勉

详细说明：

腾讯QQ群滥坝镇**校文件群
3212869**中发现某文件

QQ图片20150222165123.png

QQ图片20150222165141.png


http://2015gzbzr.hdpx.webtrn.cn
进行登陆尝试后发现 所有账号排号大概是vgzxy150001~vgzxy156300
默认密码888888无一修改
均可登陆！以第一个和6300一个举例


OX1 vgzxy150001

QQ图片20150222165836.png


QQ图片20150222165934.png


QQ图片20150222170027.png


老师信息侧漏，身份证姓名地址，还能代替他们批作业，还有他们班的群号，帮助解疑--！
OX2 vgzxy156300

QQ图片20150222170251.png


漏洞证明：

QQ图片20150222165934.png


QQ图片20150222170027.png


大概6300多的班主任，觉得危害着实很大.
要是假冒教师就。最起码身份证号不能晾着吧！

修复方案：

#避免批量排号
#账号安全控制

版权声明：转载请注明来源 刘洪泽@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-03-03 09:00

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2015-04-21 11:15 | 北京网梯科技发展有限公司(乌云厂商)

    该漏洞已由厂商修复，如有疑问，请咨询security@whaty.com。