中国写字楼网漏洞导致全内容编辑可钓鱼数万经纪人身份信息泄露

编号132910
Urlhttp://www.wooyun.org/bug.php?action=view&id=132910
漏洞状态未联系到厂商或者厂商积极忽略
漏洞标题中国写字楼网漏洞导致全内容编辑可钓鱼数万经纪人身份信息泄露
漏洞类型敏感信息泄露
厂商中国写字楼网
白帽子路人甲
提交日期2015-08-10 14:47:00
公开日期2015-09-24 14:48:00
修复时间(not set)
确认时间0000-00-00 00:00:00
Confirm Spend-1
漏洞标签用户敏感信息泄漏
关注数0
收藏数0
白帽评级
白帽自评rank10
厂商评级
厂商评rank15
漏洞简介
经纪人身份证照片泄露
自2003网站上线以来,中国写字楼网以其独特的媒体视角,全面周到服务得到业内人士的认可和青睐。据统计2006年1月,中国写字楼网日访问PV超过50万人次;访问用户分布世界各地,增加势头迅猛。写字楼相关的关键字排名在百度、谷歌、雅虎等各大搜索引擎均名列前茅;具有写字楼交易意向的潜在客户群体占总访问数的70%以上,逐渐成为物业公司、开发商、代理机构及地产媒体和业内人士、企业客户的网上家园;据国内领先的第三方网络媒体调研机构艾瑞市场咨询(iResearch)2006年6月统计,中国写字楼网网站排名、面浏览量和项目点击数都位居同行前列。
截至2007年中国写字楼网开发商、代理机构和物业公司用户数超过1万名,写字楼项目详细信息达2万余条以上。历时四年,中国写字楼网已经拥有全国和全北京最全、最详细的写字楼信息数据库和房源数据库。
2009年底,中国写字楼网北京站全面改版。新版以全新的用户体验和设计风格,打造了集写字楼资讯、写字楼评测、写字楼信息和写字楼房源租售信息为一体的垂直信息搜索平台。网站一经推出就得到了业内人士广泛关注和一致好评。
漏洞细节

http://admin.chineseoffice.com.cn/Default.aspx
admin 111111

QQ截图20150809191219.png


QQ截图20150809191303.png


都可以修改
这块是控制首页这块的

QQ截图20150809191804.png


QQ截图20150809191755.png


微信公众号管理
这里被恶意修改二维码可以钓鱼
后果不堪设想
我这里就改一下名字证明这里可以改

QQ截图20150809191858.png


QQ截图20150809193019.png


就第一个示范

QQ截图20150809193109.png


QQ截图20150809193129.png


QQ截图20150809193141.png


推荐文章这里也可以改 我就改一下标题

QQ截图20150809193258.png


QQ截图20150809193322.png


重磅
经纪人列表

QQ截图20150809193610.png


4千多页

QQ截图20150809193617.png


随便看看身份信息

QQ截图20150809193822.png


QQ截图20150809193834.png


QQ截图20150809193841.png


QQ截图20150809194053.png


QQ截图20150809194053.png


QQ截图20150809194059.png


QQ截图20150809194104.png


QQ截图20150809194836.png


QQ截图20150809194843.png


QQ截图20150809194848.png


合作信息

QQ截图20150809194900.png


纠错列表

QQ截图20150809194916.png


POC

http://admin.chineseoffice.com.cn/Default.aspx
admin 111111

QQ截图20150809191219.png


QQ截图20150809191303.png


都可以修改
这块是控制首页这块的

QQ截图20150809191804.png


QQ截图20150809191755.png


微信公众号管理
这里被恶意修改二维码可以钓鱼
后果不堪设想
我这里就改一下名字证明这里可以改

QQ截图20150809191858.png


QQ截图20150809193019.png


就第一个示范

QQ截图20150809193109.png


QQ截图20150809193129.png


QQ截图20150809193141.png


推荐文章这里也可以改 我就改一下标题

QQ截图20150809193258.png


QQ截图20150809193322.png


重磅
经纪人列表

QQ截图20150809193610.png


4千多页

QQ截图20150809193617.png


随便看看身份信息

QQ截图20150809193822.png


QQ截图20150809193834.png


QQ截图20150809193841.png


QQ截图20150809194053.png


QQ截图20150809194053.png


QQ截图20150809194059.png


QQ截图20150809194104.png


QQ截图20150809194836.png


QQ截图20150809194843.png


QQ截图20150809194848.png


合作信息

QQ截图20150809194900.png


纠错列表

QQ截图20150809194916.png


修复方案

修复

状态信息 2015-08-10: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-09-24: 厂商已经主动忽略漏洞,细节向公众公开
厂商回复(not set)
回应信息未能联系到厂商或者厂商积极拒绝漏洞Rank:15 (WooYun评价)