飞科达Rank舆情系统微博监控+订单系统沦陷（泄露大量微博账号与舆情监控订单） | wooyun-2015-0110090

漏洞概要关注数(24) 关注此漏洞

缺陷编号：

wooyun-2015-0110090

漏洞标题：

飞科达Rank舆情系统微博监控+订单系统沦陷（泄露大量微博账号与舆情监控订单）

漏洞详情

披露状态：

2015-04-24：积极联系厂商并且等待厂商认领中，细节不对外公开
2015-06-08：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

...

详细说明：

北京一飞科达软件
www.yqing.cn

mask 区域

1.http://**.**.**/_
2.http://**.**.**/

弱口令 admin ******

还有这个：

mask 区域

1.http://**.**.**/

Using the URLconf defined in moniter_web.urls, Django tried these URL patterns, in this order:
    ^site_media/(?P<path>.*)$
    ^tx_cookie/
    ^tx_report/
    ^tx_recovery/
    ^proxies/state/
    ^paperspider/state/
    ^paperspider/rule/
    ^spider/state/
    ^search/state/
    ^transmit/stat
    ^spider/search/
    ^spider/search2/
    ^adsl/state/
    ^spiders/state/
    ^weixin/gzzh/
    ^weixin/zwgzzh/
    ^weixin/account/
    ^weixin/delete/
    ^weixin/text/
    ^weixin/textnew/
    ^kimport_jkb
    ^weibo_api/status_data
    ^weibo_api/get_repost_count_by_time
    ^weibo_api/get_repost_level_count
    ^weibo_api/get_weibo_info
    ^weibo_api/reposts_data
    ^weibo_api/comments_data
    ^weibo_api/get_weibo_follows
    ^weibo_api/t_status_data
    ^weibo_api/t_get_repost_count_by_time
    ^weibo_api/t_get_repost_level_count
    ^weibo_api/t_get_weibo_info
    ^weibo_api/t_reposts_data
    ^weibo_api/t_comments_data
    ^flight_api/flight_search_batch
    ^flight_api/flight_search
    ^weibo_cookie/get
    ^weibo_cookie/set
    ^weibo_oauth/get_authorize_user
    ^weibo_oauth/delete_user
The current URL, , didn't match any of these.

漏洞证明：

···

修复方案：

···

版权声明：转载请注明来源爱上平顶山@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：15 (WooYun评价)

WooYun.org

漏洞概要 关注数(24) 关注此漏洞