漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-07925
漏洞标题：腾讯大量子域下某些敏感文件未经许可访问造成安全风险
相关厂商：腾讯
漏洞作者： 蟋蟀哥哥
提交时间：2012-06-06 02:30
修复时间：2012-07-21 02:31
公开时间：2012-07-21 02:31
漏洞类型：敏感信息泄露
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-06-06： 细节已通知厂商并且等待厂商处理中
2012-06-06： 厂商已经确认，细节仅向厂商公开
2012-06-16： 细节向核心白帽子及相关领域专家公开
2012-06-26： 细节向普通白帽子公开
2012-07-06： 细节向实习白帽子公开
2012-07-21： 细节向公众公开
简要描述：
比如某文件泄露了该游戏的qq号,虽然没有密码..纯赚rank
详细说明：
已经跟腾讯说过了，这里来赚rank
腾讯很多域名下的敏感文件夹下xml,txt,log配置文件未经权限访问.
可造成用户信息丢失,或者辅助渗透攻击
比如:
xml文件,注释很详细,利用起来更容易:
http://hudong.qq.com/gdqueyue/xml/config.xml
log文件泄露,这个log文件感觉是泄露的用户qq号.没有其他信息加以分析.只是个人的判断.
http://xj.qq.com/act/a20110323server/log/20120104.txt
提交你们只后再提交wooyun
还有其他的比如ini文件,txt文件。我都有找到。。就不再说了。。自己检查吧。。。你们的权限总比我高。。检查比我方便
漏洞证明：
修复方案：
403
版权声明：转载请注明来源 蟋蟀哥哥@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2012-06-06 10:33
厂商回复：
thanks,感谢反馈
最新状态：
暂无
漏洞评价：
评论
-
囧。。。我估计会忽略的哦。我对他们已经失望了。
-
妈呀，我看错成淘宝了。熬夜眼睛花了。囧。。。是txt估计会忽略的哦
-
@momo 看内容的
( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)