漏洞概要 关注数(24) 关注此漏洞
>
漏洞详情
披露状态：
2015-11-29： 积极联系厂商并且等待厂商认领中，细节不对外公开
2016-01-13： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
白象集团OA可直接下载用户数据,涉及部门、职位、联系电话等敏感信息。
详细说明：
下载链接
URL如下:http://oa.baixiangfood.com/messager/users.data可以直接打开，数据经过base64加密 ，但是很容易解密 。
漏洞证明：
直接访问http://oa.baixiangfood.com/messager/users.data或者使用下载工具加载此链接，下载后使用文本文件打开工具即可打开
base64解密以后能看见如下内容：
CEO</subcompany><department>ѐ</department><telephone>8601</telephone><mobile>15138686655</mobile><email>liuzhenli@baixiangfood.com</email><messagerurl>/messager/images/icon_m.jpg</messagerurl><superior>Ҧ֒|</superior><superiorid>21</superiorid><jobtitle>ѐל༯jobtitle></row>
<row><id>25</id><loginid></loginid><lastname>LJə</lastname><sex>0</sex><subcompany>CEO</subcompany><department>Ǝ</department><telephone>8801</telephone><mobile>13673355388</mobile><email>qiaoshaohua@baixiangfood.com</email><messagerurl>/messager/images/icon_m.jpg</messagerurl><superior>Ҧ֒|</superior><superiorid>21</superiorid><jobtitle>Ǝל༯jobtitle></row>
<row><id>3163</id><loginid>sumin</loginid><lastname>˕ô</lastname><sex>0</sex><subcompany>ǃ擪ϺЄ</subcompany><department>Ϻʛש</department><telephone></telephone><mobile>187381098
以上内容是随意截取一段密文解密后的结果，因为中文没有处理所以有乱码问题，稍微处理下即可看见中文。并且从中可以看出头像的文件地址，可以直接访问。
修复方案：
在resin中禁止下载users.data文件
版权声明：转载请注明来源 路人甲@乌云
>
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝