信息泄露漏洞复现

中科网威下一代防火墙控制系统 存在账号密码泄露漏洞

先用空间测绘搜索引擎进行搜索

我用的是fofa 语法：body="Get_Verify_Info(hex_md5(user_string)."

访问登录界面

然后查看源码

找到了四组账户名和MD5加密的密码

admin guest reporter super_admin

然后去MD5解密网解密 发现只有中间两个可以进行解密，但发现密码都是用户名后面加*PWD，故猜测其余两个用户名密码也是一样的构成方式.