漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017823
漏洞标题：人人网分站漏洞战火燃烧至主站Ⅱ
相关厂商：人人网
漏洞作者： zzR
提交时间：2013-01-25 11:16
修复时间：2013-03-11 11:16
公开时间：2013-03-11 11:16
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-25： 细节已通知厂商并且等待厂商处理中
2013-01-25： 厂商已经确认，细节仅向厂商公开
2013-02-04： 细节向核心白帽子及相关领域专家公开
2013-02-14： 细节向普通白帽子公开
2013-02-24： 细节向实习白帽子公开
2013-03-11： 细节向公众公开
简要描述：
木桶原理又称短板理论，木桶短板管理理论，所谓“木桶理论”也即“木桶定律”，其核心内容为：一只木桶盛水的多少，并不取决于桶壁上最高的那块木块，而恰恰取决于桶壁上最短的那块。根据这一内容，可以有两个推论：其一，只有桶壁上的所有木板都足够高，那木桶才能盛满水。其二，只要这个木桶里有一块不够高度，木桶里的水就不可能是满的。
----摘自wiki君
详细说明：
站点：
由于网站过滤不严格，导致feedback 后台权限泄露，同时，泄露了此管理员账号，包括遇见以及人人主站
Yujian Feedback List
然后直接可见此君的遇见，是个硕士呢，人才！
再有就是人人主页啦
所有东西看光光，恩
漏洞证明：
已经说明了
修复方案：
这个你们比我厉害
版权声明：转载请注明来源 zzR@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：1
确认时间：2013-01-25 11:17
厂商回复：
你这样会被乌云封号的- -
最新状态：
暂无
漏洞评价：
评论
-
@人人网 支持哈 学谁不好学风牛，刷分，还是一个站，求公开
-
@xsser 请求管理员删除此洞，原因：http://wooyun.org/bugs/wooyun-2013-017831 与此洞重复，谢谢
-
@小胖胖要减肥 大哥，我基本都是奔着礼物去的啊！话说您老刷分比我厉害呀！
-
支持人人
-
@xsser 这个时候剑总不应该站在我弱势群体这一边的嘛--
-
妈呀，能不能不要放出来了~我都不好意思了
-
乌云封号 封号 好。。。。
-
@小胖胖要减肥 -0- ！大家表这样
( 普通白帽子 | Rank:686 漏洞数:101 )