记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

奥鹏教育中国人民银行金融培训中心在线考试管理系统弱口令(1W多学生姓名身份证号码泄露/可管理全国170多考点信息等)

2015-10-02 10:15

详细说明见漏洞证明。

漏洞证明:

不多说,直接进入主题。

弱口令地址:http://fet.open.com.cn/FetAdmin/Public/Login.aspx

这个系统登录界面增加了验证码,第一时间就想,手工随便输入几个简单密码试试,哎呦,原来admin/123456就这么简单的进去了。(不要总是认为弱口令相比其他漏洞不那么重要,千里之堤,溃于蚁穴...)



1.png





进去看了一下,功能真是强大,看来这个系统真的很重要。

这个系统包含8大功能,系统管理、基础信息设置、试题管理、试卷管理、考试组织、阅卷管理、成绩管理、统计分析。

2.png





接下来自己就一一浏览了下这8大功能。



1.系统管理(就不一一列举子功能了)

管理用户:

这里的一个用户基本是一个学校,一共160多个,涉及全国各个省份哦。

操作栏中可以查看详细信息、重置密码等。



3.png





2.基础信息设置:

1)管理考点:可以管理全国171个考点。

4.png



查看一下“贵州交通职业技术学院”密码明文哦。

5.png





编辑开场信息中,可以“启用”、“禁用”考场。(我岂不是可以禁用全国170多个考场了。)



6.png







2)管理学生(1W多学生的姓名+身份证号码+学号)



7.png





3.试题管理:

8.png





4.试卷管理:

可以发布试卷(难道我可以当老师出题了..),试卷可以导出,试题会泄露吗?



9.png





10.png





5.考试组织:

11.png





6:阅卷管理

12.png





领导让该开会了,算了就这样了。

修复方案:

该!


知识来源: www.wooyun.org/bugs/wooyun-2015-0134763

阅读:138048 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“奥鹏教育中国人民银行金融培训中心在线考试管理系统弱口令(1W多学生姓名身份证号码泄露/可管理全国170多考点信息等)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

ADS

标签云