吾講法律咨詢服務（蘇州）有限公司
一、漏洞標題-吳江法律網_郵箱轟炸
1.1 漏洞信息
漏洞編號：Vul-20230519132544486195
審核等級：中危
被測單位：吾講法律咨詢服務（蘇州）有限公司
資產url：wjfl.net
漏洞類型：邏輯缺陷漏洞
漏洞URL地址：https://wjfl.net/?m=user&c=Users&a=info
漏洞利用參數：無
類型：郵件轟炸漏洞
復現步驟：
漏洞利用原理簡要描述 由于沒有對短信或者郵件發送次數進行限制，導致可無限次發送短信或郵件給用戶，從而造成短信轟炸，進而可能被大量用戶投訴，從而影響公司聲譽。 漏洞利用詳細步驟1.注冊賬號
ss
ss
2.登錄系統，我的信息點擊綁定郵箱
ss
ss
3.輸入郵箱地址點擊發送驗證碼抓包連續發送
ss
ss
4.受到郵箱轟炸
ss
ss
webshell信息：
修復方案：
針對邏輯缺陷漏洞，建議系統開發人員：完善代碼邏輯，修復不合理的請求方式。
ss
附件：
二、漏洞標題-https://wjfl.net/存在列目錄
2.1 漏洞信息
漏洞編號：Vul-20230518143405136675
審核等級：中危
被測單位：吾講法律咨詢服務（蘇州）有限公司
資產url：wjfl.net
漏洞類型：信息泄露漏洞
漏洞URL地址：https://wjfl.net/data/
漏洞利用參數：無
類型：敏感信息文件泄露下載漏洞
請求數據包：
復現步驟：
漏洞利用原理簡要描述 敏感信息泄露漏洞是指攻擊者可以通過某種方式獲取網站或應用程序中的敏感信息，例如用戶密碼、財務數據等。這種漏洞通常發生在程序沒有對敏感信息進行充分的加密和保護的情況下，攻擊者可以利用這一點來獲取敏感信息。敏感信息泄露漏洞可能會導致嚴重的安全風險，因此應該盡量避免這種漏洞的發生。開發人員應該在編寫代碼時注意這一問題，并確保對敏感信息進行充分的加密和保護。 漏洞利用詳細步驟https://wjfl.net/data/
ss
ss
webshell信息：
修復方案：
針對信息泄露漏洞，建議系統管理員或系統維護人員：關閉不必要的頁面或服務，如無特殊需要，建議禁止外網訪問該頁面。
ss
附件：
三、漏洞標題-吳江法律網吾講法律平臺_目錄遍歷
3.1 漏洞信息
漏洞編號：Vul-20230516105136290232
審核等級：中危
被測單位：吾講法律咨詢服務（蘇州）有限公司
資產url：wjfl.net
漏洞類型：非預期目錄遍歷漏洞
漏洞URL地址：http://wjfl.net:8010/public/
漏洞利用參數：http://wjfl.net:8010/public/
是否含有敏感信息文件：否，但有業務相關的特殊文件
復現步驟：
漏洞利用原理簡要描述 目錄遍歷漏洞 漏洞利用詳細步驟訪問URL：http://wjfl.net:8010/public/http://wjfl.net:8010/template/可以查看目錄遍歷信息
ss
ss
webshell信息：
修復方案：
針對非預期目錄遍歷漏洞，建議系統管理員或系統維護人員，根據實際使用的中間件，參考以下修復建議： 1、 IIS中關閉目錄瀏覽功能：在IIS的網站屬性中，勾去“目錄瀏覽”選項，重啟IIS。 2、 Apache中關閉目錄瀏覽功能：打開Apache配置文件httpd.conf，查找“Options Indexes FollowSymLinks”，修改為“Options-Indexes”(減號表示取消，保存退出，重啟Apache。 3、 Nginx中可以編輯nginx.conf文件，刪除如下兩行：autoindex on;autoindex_exact_size on;重啟Nginx。
ss
附件：