教务系统设计缺陷允许绕过验证码进行破解或弱口令扫描.pdfVIP

标题正方教务管理系统设计错误，可绕过进行暴破或扫弱口令

相关厂商正方教务管理

作者jing

提交时间2013-04-1221:26

公开时间2013-07-1121:27

类型设计/逻辑错误

危害等级低

自评Rank6

状态已交由第合作机构(cncert国家互联网应急)处理

Tags正方教务,绕过

详情

默认是需要输入的：

将地址栏的default2.aspx改为default3.aspx（或者default5.aspx）后：

可以绕过请求直接登录。

证明：

输入错误的后会有错误提示：

输入正确的后可成功登录：

通过这个可以方便的进行学号段弱口令扫描窃取学生资料或者密

码。

修复方案：

在开启功能后，

对于default3.aspx