当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-06865

漏洞标题：人人网也有弱口令拉！

相关厂商：人人网

漏洞作者： shine

提交时间：2012-05-09 15:29

修复时间：2012-06-23 15:29

公开时间：2012-06-23 15:29

漏洞类型：后台弱口令

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-05-09： 细节已通知厂商并且等待厂商处理中
2012-05-09： 厂商已经确认，细节仅向厂商公开
2012-05-19： 细节向核心白帽子及相关领域专家公开
2012-05-29： 细节向普通白帽子公开
2012-06-08： 细节向实习白帽子公开
2012-06-23： 细节向公众公开

简要描述：

人人网好象还没出过弱口令，开个张！

详细说明：


好象很久没维护了，Plone内容管理系统及Zope应用服务器搭配
此处弱口令：
  
http://wiki.dev.renren.com:8089/Plone
http://wiki.dev.renren.com:8089/manage



（Zope很健壮啊！）



（性能也稳定，快跑1000天了！）


漏洞证明：


敏感信息及可利用信息还是较多的，由于不了解Zope web服务器及Python语法，没多去看！
给出Plone一处利用，你们看合理不？有危害不？



这样算不算存储型XSS?



然后利用qq的小绿√ ，进行钓鱼，输入帐号选妹子！^-^


修复方案：

听说人人网的礼物是充气娃娃，很好奇，求！

版权声明：转载请注明来源 shine@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：20 (WooYun评价)

漏洞评价：

评论

  1. 2012-05-09 15:31 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    你太欢欣了

  2. 2012-05-09 15:35 | shine 认证白帽子 ( 普通白帽子 | Rank:831 漏洞数:77 | coder)

    @xsser ^-^

  3. 2012-05-09 16:33 | p.z 认证白帽子 ( 普通白帽子 | Rank:411 漏洞数:40 )

    收到充气娃娃拍张照

  4. 2012-05-09 17:31 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    厂商回复 +1

  5. 2012-05-09 17:36 | ubuntu ( 普通白帽子 | Rank:148 漏洞数:12 | 一切皆有可能……)

    厂商有爱……

  6. 2012-05-09 17:50 | Passer_by ( 实习白帽子 | Rank:97 漏洞数:21 | 问题真实存在但是影响不大（腾讯微博Passer...)

    这是一个好厂商。。

  7. 2012-05-09 17:54 | goderci ( 普通白帽子 | Rank:542 漏洞数:47 | http://www.yunday.org)

    @人人网 你这样评分，是我们要打击的对象啊！人人会火！

  8. 2012-05-09 18:38 | shine 认证白帽子 ( 普通白帽子 | Rank:831 漏洞数:77 | coder)

    @人人网 +1？ 那我可理解为是送两个了；@xsser 如果有两个，同时你也需要，分一个给你！哈哈！

  9. 2012-05-09 18:58 | Valo洛洛 ( 普通白帽子 | Rank:458 漏洞数:52 | 。)

    弱口令= =rank给的好高

  10. 2012-05-09 20:01 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    lz别忘了和充气娃娃照相给我们看

  11. 2012-05-10 09:22 | 凤凰 ( 路人 | Rank:15 漏洞数:6 | 涅磐)

    @Valo洛洛 因为利用门槛和条件太低，加上系统比较重要

  12. 2012-05-10 09:26 | shine 认证白帽子 ( 普通白帽子 | Rank:831 漏洞数:77 | coder)

    @凤凰 后半句可能不对，主要是厂商对安全的态度！

  13. 2012-05-11 18:20 | Power ( 实习白帽子 | Rank:54 漏洞数:22 | 还需要等待.........)

    +1毛意思？

  14. 2012-05-11 23:40 | Passer_by ( 实习白帽子 | Rank:97 漏洞数:21 | 问题真实存在但是影响不大（腾讯微博Passer...)

    从此大家努力发掘人人网的洞。。

  15. 2012-06-08 23:13 | Passer_by ( 实习白帽子 | Rank:97 漏洞数:21 | 问题真实存在但是影响不大（腾讯微博Passer...)

    求问下弱口令是啥？想收集个弱口令列表。。

  16. 2012-06-09 14:22 | shine 认证白帽子 ( 普通白帽子 | Rank:831 漏洞数:77 | coder)

    @Passer_by 它绝对已经在你的弱口令列表里了！