漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-026983
漏洞标题：大数据HACK系列#1 锤子科技第一弹
相关厂商：锤子科技
漏洞作者： 猪猪侠
提交时间：2013-06-26 20:40
修复时间：2013-08-10 20:41
公开时间：2013-08-10 20:41
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-06-26： 细节已通知厂商并且等待厂商处理中
2013-06-27： 厂商已经确认，细节仅向厂商公开
2013-07-07： 细节向核心白帽子及相关领域专家公开
2013-07-17： 细节向普通白帽子公开
2013-07-27： 细节向实习白帽子公开
2013-08-10： 细节向公众公开
简要描述：
看到乌云有位同学用数据挖掘的方式帮助锤子科技寻找安全漏洞，看到厂商评论，着实吓我一跳！那我就来个真正的锤子科技吧！
详细说明：
# 这只是一个开始
http://whois.chinaz.com/smartisan.cn
域名ID： 20120825s10001s51800901-cn
域名状态：运营商设置了客户禁止删除保护
域名状态：运营商设置了客户禁止转移保护
注册人： 锤子科技（北京）有限公司
管理员邮件： bg2rhy@gmail.com
注册商： 厦门易名科技有限公司（原厦门易名网络科技有限公司）
DNS服务器： f1g1ns1.dnspod.net
DNS服务器： f1g1ns2.dnspod.net
注册时间： 2012-08-25 15:41:22
过期时间： 2022-08-25 15:41:22
#2 开启社会化大数据累计库检索
BG2RHY : bg2rhy@gmail.com : s0n4i*****
#3 通过获取到的邮箱+密码信息登录域名注册商。
漏洞证明：
修复方案：
国内域名托管商普遍不注重用户安全，个人建议锤子科技转移到国外。
建议针对比较敏感的第三方设置一个唯一的避免，从而拒绝被大数据骇客威胁到安全。
版权声明：转载请注明来源 猪猪侠@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2013-06-27 00:45
厂商回复：
已经处理 十分感谢
最新状态：
暂无
漏洞评价：
评论
-
洞主没日偏吧
-
@xsser 我看这里 WooYun: 对锤子科技一次完整的测试过程 厂商回复的www.smartisan.cn 或者www.smartisanos.com，没打偏。
-
@猪猪侠 没用过锤子的东西 不知道是否可能会有云之类的东西
-
数据量上300了么
-
老板，轻点啊，疼。
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)