风险名称 | 测试账号未删除 |
风险级别 | 中风险 |
风险描述 | 测试账号 |
测试过程 | |
影响地址 | https://github.com/linshaosec |
风险分析 | 测试账户一般为弱密码,随手一试还存在system账户。存在比较大的概率进入系统内部从而进一步进行攻击。 |
加固建议 | 如非必要,删除测试账户,或采用强安全性用户名。 另外,统一更改错误提示,无论账户存在与否都显示为“用户名或密码错误”,防止账户枚举 |
风险名称 | 用户枚举 |
风险级别 | 中风险 |
风险描述 | 获取用户名,减少爆破难度。 |
测试过程 | |
影响地址 | https://github.com/linshaosec |
风险分析 | 输入admin用户不存在,输入1admin提示密码错误。 |
加固建议 | 对后端jsp代码if语句字符串进行修改。 |
风险名称 | 预约信息重放 |
风险级别 | 高风险 |
风险描述 | 攻击者利用该漏洞无限提交预约留言 |
测试过程 | |
影响地址 | https://github.com/linshaosec |
风险分析 | 攻击者利用该漏洞绕过验证码,消耗服务器系统资源占用,扰乱正常的预约业务。 |
加固建议 | 修复后端验证码校检代码 |
风险名称 | 任意账户密码重置 |
风险级别 | 高风险 |
风险描述 | 可以重置其他人包括管理员的账户密码 |
测试过程 | |
影响地址 | https://github.com/linshaosec |
风险分析 | 密码重置不应该使用时间戳来作为验证字段,修改高权限用户密码登录后攻击面会变大,危害也越大 |
加固建议 | 使用邮箱发送随机验证码验证来进行密码重置 |
风险名称 | 越权访问 |
风险级别 | 高风险 |
风险描述 | 普通用户可以访问到不该访问的资源,即为越权访问 |
测试过程 | |
影响地址 | https://xxx.xx.com/names.nsf/$users |
风险分析 | 用户登录后直接访问上述链接可以看到其他用户的用户名,邮箱及其登录密码散列等等信息,进而可以用john,hashcat等工具破解出明文密码或制作字典等等 |
加固建议 | 联系软件官方进行修复 临时建议:禁止访问该页面 |