1. 程式人生 > >正方教務管理系統後臺敏感日誌檢視漏洞

正方教務管理系統後臺敏感日誌檢視漏洞

正方教務管理系統作為正方軟體的主打產品,從其官網瞭解到——截止至2012年10月,已有1,000餘所高校使用了其數字化校園資訊平臺。從百度的最新檢索結果也可見,成片成片的高校目前正在使用該教務系統。

經筆者測試,大多數高校的正方教務系統版本都存在該漏洞,在教務系統的網址後加上/log/2018-01-04-log.txt或者/log/2018-01-04-Errorlog.txt,便可以下載到2018年1月4日的日誌檔案,同理改成其他日期均可。該日誌儲存了登入系統的使用者名稱、加密後的密碼、IP地址和進行的操作,屬於敏感檔案。但是卻允許所有使用者檢視下載,隱私暴露,不夠安全。