国家税务总局某服务漏洞：
1.越权查看、修改用户基本信息及登陆密码
2.文件上传，已发现被上传了shell
国家税务总局纳税咨询服务：http://hd.chinatax.gov.cn/consult/login.do
一、越权查看、修改用户基本信息及登陆密码
更换UserLogin即可未授权访问即可查看并修改他人信息，随意修改任何用户密码。
http://hd.chinatax.gov.cn/consult/registedit.jsp?userLogin=user1
http://hd.chinatax.gov.cn/consult/registedit.jsp?userLogin=admin
二、文件上传
测试时，由于未找到其它用户账号，使用admin账号做的测试，谁知道修改密码成功。：（
但登陆进去一看，原来该账号并非”真正的系统管理员“账号，同时发现该账号在很早之前就通过附件上传功能上传了shell文件。
测试过程中，未深入测试上传shell，服务器上现有shell简单试了几次密码，都不正确，作罢！！
详细查杀一下可疑文件吧。
漏洞修复方法：我就不献丑咯，你们的安全人员多的是，他们拿着我们纳税人的钱不干事怎么行