当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-08604

漏洞标题:搜搜 搜索引擎越权爬行

相关厂商:腾讯

漏洞作者: 墨水心_Len

提交时间:2012-06-21 18:58

修复时间:2012-08-05 18:59

公开时间:2012-08-05 18:59

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-06-21: 细节已通知厂商并且等待厂商处理中
2012-06-26: 厂商已经确认,细节仅向厂商公开
2012-07-06: 细节向核心白帽子及相关领域专家公开
2012-07-16: 细节向普通白帽子公开
2012-07-26: 细节向实习白帽子公开
2012-08-05: 细节向公众公开

简要描述:

搜搜 搜索引擎越权爬行 获取页面内容。

详细说明:

搜搜-是国内最大的搜索引擎之一,使用的用户当然很多啦;
这个问题,不应该啊。
简单说明下;
mate标签 <meta name="robots" content="none" />,
当设置为none时,与设置为noindex和nofollow是画等号的。用来告诉搜索引擎此页面禁止爬行。

漏洞证明:

soso.com 键入:

enmuo.enmuo.com


使用搜搜进行搜索:


咱们再查看下快照:


重点在下面:


google、百度是搜不出来的。
现在TX的用户越来越多,上亿啊,当然小生也是QQ的铁杆粉丝。
但谁都想把功能做好,但不是以这种方式啊。你们说呢?so...Rank10.

修复方案:

相信你们更专业。

版权声明:转载请注明来源 墨水心_Len@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:5

确认时间:2012-06-26 09:31

厂商回复:

多谢反馈,我们正在跟进处理中

最新状态:

暂无


漏洞评价:

评论

  1. 2012-06-21 19:40 | HRay ( 普通白帽子 | Rank:196 漏洞数:28 | 018)

    应该是权限验证没做好吧,正好爬到那了,正常需要有账号才能访问要怎么爬呢

  2. 2012-06-21 20:45 | 墨水心_Len ( 实习白帽子 | Rank:70 漏洞数:15 | PKAV技术宅 | 每一个有文化的东西,我们都...)

    忘了补上,端午节快乐!