苏迪科技WebPlus高校站点集群用户认证信息泄露_软件资讯

披露状态:

2013-01-22: 细节已通知厂商并且等待厂商处理中
2013-01-27: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:
敏感信息泄露,导致可Cookie欺骗登陆系统

详细说明:
google下,N多的高校在用啊

苏迪科技WebPlus高校站点集群用户认证信息泄露_软件资讯

大部分的站点的/ids/logs/ids.log文件可直接下载,如下图

苏迪科技WebPlus高校站点集群用户认证信息泄露_软件资讯

ids.log里面有loginToken哦

苏迪科技WebPlus高校站点集群用户认证信息泄露_软件资讯

把文件最底下最新的loginToken加到Cookie里,登陆

苏迪科技WebPlus高校站点集群用户认证信息泄露_软件资讯

没有深入琢磨shell的事。

漏洞证明:
一个一般的管理员用户

苏迪科技WebPlus高校站点集群用户认证信息泄露_软件资讯

另外一个,超管哦

苏迪科技WebPlus高校站点集群用户认证信息泄露_软件资讯

修复方案:
.log文件禁止读禁止下载。这个系统在用的地方太多太多。