当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-06711

漏洞标题：淘宝ID明文密码post

相关厂商：淘宝网

漏洞作者： Pentos

提交时间：2012-05-05 16:04

修复时间：2012-05-10 16:04

公开时间：2012-05-10 16:04

漏洞类型：重要敏感信息泄露

危害等级：低

自评Rank：3

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-05-05： 细节已通知厂商并且等待厂商处理中
2012-05-10： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

明文密码post

详细说明：

一些ID早期注册长期未登陆，登陆会“账户暂停使用，请按步骤操作，自助开通账户！”需要验证密码后绑定手机才可激活。
在激活验证密码处递交密码，可以在相关表单处获取到明文密码。

漏洞证明：

输入一个需要激活的ID，提示如下


再次输入一个错误密码，递交后查看源码可以在password表单处看到刚才输入的错误的密码


利用wpe,Sniffer等分析工具截取到验证通过的明文


页面：http://110.taobao.com/account/activate.htm?_nk_=wo2003

修复方案：

不知道

版权声明：转载请注明来源 Pentos@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2012-05-10 16:04

厂商回复：

漏洞Rank：4 (WooYun评价)

最新状态：

暂无

漏洞评价：

评论

  1. 2012-05-05 16:26 | 水滴 ( 普通白帽子 | Rank:146 漏洞数:24 )

    ...

  2. 2012-05-05 17:05 | popok ( 普通白帽子 | Rank:117 漏洞数:24 | nothing)

    。。。。。。。。最近这是怎么回事？

  3. 2012-05-05 17:08 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @popok 怎么了？

  4. 2012-05-05 19:29 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    国内用https的少，很多地方都是明文的

  5. 2012-05-10 16:33 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    淘宝怎么老鸡巴忽略忽略，是不是太高高在上了？

  6. 2012-05-10 17:31 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    @xsser 去直接干死它，咱们为你摇旗助威

  7. 2012-05-10 18:18 | king ( 路人 | Rank:15 漏洞数:2 | 喜爱安全，网络游戏安全应用漏洞挖掘)

    只是被监听，有危险，其实不是别人不想处理，大企业都这样，不想去得罪人，也不想去担那些有这个安全修复引发一些其他的责任吧了！！！

  8. 2012-05-10 20:53 | TwoSpring ( 路人 | Rank:8 漏洞数:1 | 游走于道德与随性之间……)

    淘宝的PHP,好像与phpwind.net同一伙人所做.

  9. 2012-05-10 21:08 | 水滴 ( 普通白帽子 | Rank:146 漏洞数:24 )

    也就是说明文保存？

  10. 2012-05-11 08:34 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    @水滴 明文传输

  11. 2012-05-11 14:56 | 水滴 ( 普通白帽子 | Rank:146 漏洞数:24 )

    @蟋蟀哥哥 满大街都是。。。