申通快递E3集群系统和客服管控系统管理信息泄露
(window.slotbydup=window.slotbydup || []).push({
id: '2611110',
container: s,
size: '240,200',
display: 'inlay-fix'
您当前位置： &
[ 所属分类
| 时间 2016 |
作者 红领巾 ]
申通快递E3集群系统和客服管控系统管理信息泄露
用户敏感数据泄漏
厂商已经确认
密码泄露,敏感数据未加密,设计不当
年前把学校行李寄申通快递寄回家，一个快件近10天没有动静，多次询问发件地申通都回避问题，货品早到达目的地，但派送方既不派送又不主动联系我（地址电话都正确），最后约定派送时间却又不打招呼推迟一天，差点耽误我出行，整个协商网点互相推诿，让人十分窝火。约定派送那天没有派送，多番催促后才同意次日派送，晚上查件的时候无意中发现了申通办公平台的下载区，然后就是下面描述的情况了：
1、申通办公平台的下载区 /e3oa/down/down.html 中获得“OA升级版”客户端
2、打开客户端后发现保存有上次用户的登录信息，猜测本地存有登录信息
3、在软件根目录下寻找到名为e3net.ini的配置文件，如下图
用户的登录信息以类似Base64形式存储，然而在通过Base64解码得不到正确结果
4、由于在登录框中，部分登录信息明文显示，猜测用户名和密码的编解码规则相同，因此我将网点编号lastloginsitecode的值与lastloginpassword的值进行对调，再次启动客户端，在网点编号未知的Text栏中显示出lastloginpassword解码后的数值
5、尝试用该密码登录，系统登陆成功，进入加载页面（由于客户端版本较老，不能正常使用）。此用户账号密码有效。
6、返回办公平台的下载区页面，下载“申通客服管控平台(更新)”，用该账号密码进行登录，登陆成功。该账号密码所有者为申通信息部员工，拥有申通客服管控平台管理权限。
可以在权限管理中查询到其他管理员的信息，并可以进行用户权限管理、用户增减操作、密码修改等敏感操作。同时可以进行该客服管控平台任意功能的操作。
7、通过用户信息获得申通协同办公平台（/）的员工登录姓名，通过弱口令进入办公平台，获得最新版E3集群系统
8、利用客管平台的账户信息，组合猜解得到E3系统管理员登陆账号密码，成功登陆E3系统，获取E3全部功能的操作权限，这个危害程度应该很高吧？
9、在E3系统的权限管理中，可以通过能够接受WM_GETTEXT消息的密码查看软件就能够查看到对应窗口的密码信息。在客管平台中也可以采用类似方式获取用户密码
补充说明，顺便测试了网上几个能够下载到的管理客户端，如义务申通的E3平台，配置文件中密码使用Base64编码存储，很容易获取账号密码。
漏洞证明：
插一张客户端图片
修复方案：
1、提高管理员的安全意识，加强密码的管控
2、客户端上更换更好的的本地密码信息存储的加密算法
3、管控远程登录的权限，关注管理后台的异常登录记录
版权声明：转载请注明来源 showonder@乌云
本文web安全相关术语:黑盒测试方法 黑盒测试和白盒测试 网站安全检测 360网站安全检测 网络安全知识 网络安全技术 网络信息安全 网络安全工程师
转载请注明本文标题：本站链接：
分享请点击：
1.凡CodeSecTeam转载的文章,均出自其它媒体或其他官网介绍,目的在于传递更多的信息,并不代表本站赞同其观点和其真实性负责；
2.转载的文章仅代表原创作者观点,与本站无关。其原创性以及文中陈述文字和内容未经本站证实,本站对该文以及其中全部或者部分内容、文字的真实性、完整性、及时性，不作出任何保证或承若；
3.如本站转载稿涉及版权等问题,请作者及时联系本站,我们会及时处理。
登录后可拥有收藏文章、关注作者等权限...
阅读(2141)
CodeSecTeam微信公众号
任何一件事情，只要你认真去做，总是能够变得简单的。
手机客户端var sogou_ad_id=731545;
var sogou_ad_height=90;
var sogou_ad_width=980;商品名称：
评价得分：
物美价廉，申通快递员没有电话通知下放下走人不怎么样
来自京东Android客户端
还可以输入120字
多品类齐全，轻松购物
快多仓直发，极速配送
好正品行货，精致服务
省天天低价，畅选无忧申通欲涨价增收
　　在“双11”大战一触即发之时，行业龙头申通欲换个活法。申通日前在官网发布，要求各分公司和网点针对自身情况，通过价格杠杆调节快递业务量。这意味着，申通试图通过涨价提高在“双11”配送的利润，告别以往的增量不增收。不过，也有业内人士认为，由于配送网点不敢轻易提升价格，申通是牺牲加盟商利润自己增收。　　逆势提价　　申通的一则调价通知引发业内关注。申通此番调价并未做出具体指导，而是将调价权下放到基层。申通在调价通知中表示，申通总部号召各分公司、基层网点旺季期间根据自身的运营能力，在合理并能够承受的件量增幅的情况下，研究具体的价格调整方案，总公司也将在近日出台相关价格调节政策的通知。　　中国快递咨询网首席顾问徐勇表示，申通此次调价主要是针对内部结算价格，并非直接面向客户。据了解，为吸引加盟商，增加加盟商竞争力，申通在平时对加盟商的结算价格有一定程度的优惠。显然，大加盟商提价，也会连带下级网点涨价。　　告别增量不增收　　调价最根本的是要解决快递业长期的“双11”期间增量不增收的难题。在申通看来，“双11”期间企业投入了大量人力物力，但并未在快递价格上得到体现，企业甚至因此处于亏损的境地。　　“双11”是快递淡季与旺季的分水岭。申通方面指出，淡季与旺季实行不同的价格体系是多数行业通用的做法。长期以来，快递价格没有根据淡旺季实行区分。根据过去三年的数据，“双11”期间，由于没有采取淡旺季差异价格，快递公司一方面大力投入，另一方面却普遍陷入增量不增收状况，不盈利或亏损的现象较为严重。一线业务员长时间疲劳应对，快递时效和服务质量无法得到保障，消费者权益也跟着受到伤害。　　“双11”可谓快递业一年中最忙的季节。根据国家邮政局预测，今年“双11”期间快件业务量将突破5亿件，比去年同期增长近五成;最高日处理量将达到9000万件，比去年增长38.5%。与此同时，今年的快递旺季长于往年，从“双11”持续到春节前夕，共104天。申通预测，今年“双11”业务量将突破2000万票。　　有快递企业负责人表示，快递企业为备战“双11”可谓下了血本，纷纷招兵买马。该负责人指出，此时的经营成本远高于平时，甚至出现了万元月薪难留快递员的情况。此外，企业租赁的临时场地也多长达半年，过了旺季只能闲置下来，平均下来的成本远高于平时。　　加盟商困难重重　　不过，价格战仍可能是快递业揽客的法宝。徐勇表示，此番涨价短期内并不会对行业造成大面积影响。据了解，申通此番提价主要是针对电商客户。　　在徐勇看来，目前国内民营快递企业依旧将市场份额奉为第一指标，较大的市场份额意味着企业将更加受到资本市场的关注。对于加盟商而言，涨价可能意味着客户的流失，而且一旦流失将很难再挽回。　　在这种情况下，如果加盟网点为了保持市场份额继续价格战，将以损失经营利润为代价。　　申通靠牺牲加盟商利润强化盈利能力，试图在“双11”配送旺季告别赔本赚吆喝无可厚非，但这可能造成加盟商不满，长此以往将影响申通的运营体系。　　业内人士认为，若提价后服务质量能得到改善也将有利于品牌形象的提升。目前，尽管申通、圆通等都在业务量上超过了顺丰，但从品牌口碑上，这些企业与后者存在明显差距。同时，京东也宣布，新建的亚洲一号物流平台，不仅将为自营渠道服务，也会为第三方商户配送。这都将成为靠价格战弱化服务竞争的民营快递的巨大威胁。　　同时，如果不能在未来有所改变，一旦京东等品牌有了配送量作为保证从而降低成本，这些民营快递的生存将受到威胁。
财富放送 广东广播电视台财经互动第一平台，与明星主持亲密互动，打造您的财富大伽朋友圈。
更多精彩内容关注财富放松微信号：cffsfm
【免责声明】本文仅代表作者本人观点，与财富动力网无关。财富动力网站对文中陈述、观点判断保持中立，不对所包含内容的准确性、可靠性或完整性提供任何明示或暗示的保证。请读者仅作参考，并请自行承担全部责任。
今年全国两会期间，农业供给侧改革成为最热门的话题之一。应当如...您好， []|
全部 沪深 港股 基金 美股
申通快递人事大换血备战上市 争抢快递第一股
　　与中邮速递争食快递第一股，申通快递终于动手攻坚管理上的硬骨头。近日有消息爆出申通刚刚完成核心管理层大换血，包括副总裁职务等在内，共新任命23名管理者，据广东申通有员工透露，多个部门的人事管理调整工作还正在进行中。　　这是申通快递近20年来最大一次高管调整。董事长陈德军亲自主管公司全国的日常事务，申通总裁奚春阳在年后的工作重心由原来的全面负责转而偏重于杭州业务及调研工作。　　而此前陈德军基本不参与日常管理，主要是定方向和融资。总经理奚春阳系陈德军之妹夫，其下面有几个部门总监，同是公司业务分为九大片区，各片区由一位经理掌管，九大片区的经理都是与他一起创业的桐庐老乡。　　陈德军高中学历，23岁进入快递行业。上述申通员工称，申通从总部到分公司，从总加盟商到分级加盟商皆以家族式管理与发展，管理层的“新人”并不多，区域加盟商很多也是一级总加盟商再分包各片区给亲戚或老乡，发展次级分包商。主管日常事务之后，申通多个部门管理人事都做了调整。在今年3月份召开的申通2012年大会上，奚春阳发表讲话坦承公司现阶段面临诸多挑战，头两条即认为：“管理体制机制与现代企业制度还有不小的差距”、“管理层和员工综合素质偏下制约了企业层次的提升”。　　因此，在此次新任职的高管中，原宅急送总公司副总裁熊大海担任申通快递董事长助理。据上述申通员工称，“董事长赋予熊大海相当权力，在新就职管理层里，熊大海甚至排在副总裁刘荣坤等人之前。”但此次调整后新的高管团队中，依然保留了主要加盟商作为管理层中坚力量。　　加盟模式是申通快递快速发展助跑器，也是其硬伤。在申通成长早期，陈德军将连锁加盟体制引入快递行业，以加盟商派送费互免机制来取代相互结算，后为了平衡区域利益，由发达地区向欠发达地区(即进件多出件少的加盟商向出件多进件少的加盟商)进行补贴。　　这一模式，超级简单却超级有效。申通快递没有战略规划，但依靠众多加盟商及加盟商的层层分包，得以在全国各地迅速扩张，自下而上、自然而然地形成了第一家覆盖全国的民营快递网络。但这一模式也存在着隐患，众多加盟商割据一方，随着业务发展，相互间纷争、混战、兼并乃至争夺的局面已然出现，有些甚至已经威胁到整个申通网络的生存。　　2009年开始，申通快递总部权力不得不下放，仅靠省际主干线物流、利用软件控制车辆和总部信息系统查件等方式掌控局面。如果加盟商不听从总部指令，快件则只能在省内流通，却出不了省。任何快件货物的报批都需网上录入总部备案，用户也因此能在网上查询递送进度。　　此前两年多时间，申通快递一直在试图股份改革，比如在天津、广州、武汉等大城市，申通总部引进加盟商成为区域分公司股东，自己控股51%，双方进行捆绑式经营，直接分享收件、派件等利润。2011年9月，陈德军公开宣称申通快递正在筹备上市。2011年度，申通快递的总销售额突破100亿元。按照快递行业销售平均净利润3%-5%计算，其净利润可达到3-5亿元。　　快递咨询网首席顾问徐勇认为，申通今次变动，可以看做是申通高管团队转向职业化，偏战略决策，与加盟商的业务经营实现初步剥离。(21世纪经济报道)
新股申购数据一览
发行市盈率
满额申购资金
新股上市数据一览
发行市盈率
[责任编辑：parryzhang]
(请登录发言，并遵守)
如果你对财经频道有任何意见或建议，请到交流平台反馈。【】
财经视频高清大片
新闻排行数码汽车科技财经
Copyright & 1998 - 2017 Tencent. All Rights Reserved