正方教务管理系统后台敏感日志查看漏洞

正方教务管理系统作为正方软件的主打产品，从其官网了解到——截止至2012年10月，已有1,000余所高校使用了其数字化校园信息平台。从百度的最新检索结果也可见，成片成片的高校目前正在使用该教务系统。

 

经笔者测试，大多数高校的正方教务系统版本都存在该漏洞，在教务系统的网址后加上/log/2018-01-04-log.txt或者/log/2018-01-04-Errorlog.txt，便可以下载到2018年1月4日的日志文件，同理改成其他日期均可。该日志保存了登录系统的用户名、加密后的密码、IP地址和进行的操作，属于敏感文件。但是却允许所有用户查看下载，隐私暴露，不够安全。