漏洞概要 关注数(24) 关注此漏洞
>
漏洞详情
披露状态：
2014-06-03： 细节已通知厂商并且等待厂商处理中
2014-06-08： 厂商已经确认，细节仅向厂商公开
2014-06-18： 细节向核心白帽子及相关领域专家公开
2014-06-28： 细节向普通白帽子公开
2014-07-08： 细节向实习白帽子公开
2014-07-18： 细节向公众公开
简要描述：
可遍历获取全国多届大学生的学籍照片，不知道中国高等教育学生信系网一共有多少大学生的学籍信息呢？
详细说明：
括号里面的是变量，只需改变一下就可以查看其他的照片，妹纸们的学籍照片都不是太漂亮，所以我只弄了陕西和广东的学籍照片来证明有这个漏洞，其他省份的学籍照片肯定也有同样的漏洞！
陕西：http://xjxl.chsi.com.cn/images/photoForLQK/E59950E（51F68）B64CE040007F010008F1
陕西：http://xjxl.chsi.com.cn/images/photoForLQK/E59950E（2EBF3）B64CE040007F010008F1
陕西：http://xjxl.chsi.com.cn/images/photoForLQK/E59950E（3DC5F）B64CE040007F010008F1
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（91022）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（61003）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（71002）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（71001）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（71000）FB37E040007F0100552A
PS：照片上有红颜色数字的是广东的，没有红颜色数字的是陕西的！
广东大学生的学籍照片链接里的变量全是数字，更方便去查看其他人的照片！
可以利用这个漏洞举办一个全国大学生选美大赛！我的想法不错吧，哈哈！
漏洞证明：
陕西：http://xjxl.chsi.com.cn/images/photoForLQK/E59950E（51F68）B64CE040007F010008F1
陕西：http://xjxl.chsi.com.cn/images/photoForLQK/E59950E（2EBF3）B64CE040007F010008F1
陕西：http://xjxl.chsi.com.cn/images/photoForLQK/E59950E（3DC5F）B64CE040007F010008F1
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（91022）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（61003）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（71002）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（71001）FB37E040007F0100552A
广东：http://xjxl.chsi.com.cn/images/photoForLQK/E5623F7（71000）FB37E040007F0100552A
PS：照片上有红颜色数字的是广东的，没有红颜色数字的是陕西的！
修复方案：
这个你们比我更专业!
版权声明：转载请注明来源 dlevr@乌云
>
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-06-08 10:10
厂商回复：
最新状态：
2014-06-08：补充一下处置情况，已经转由CNCERT上报给教育部某司局，作为保障专项事项，由其后续协调处置。