当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-029086

漏洞标题：搜狗搜索泄露大量用户隐私后台地址（疑似从浏览器直接抓取）

相关厂商：搜狗

漏洞作者： 教官

提交时间：2013-07-16 16:44

修复时间：2013-08-30 16:45

公开时间：2013-08-30 16:45

漏洞类型：敏感信息泄露

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-07-16： 细节已通知厂商并且等待厂商处理中
2013-07-17： 厂商已经确认，细节仅向厂商公开
2013-07-27： 细节向核心白帽子及相关领域专家公开
2013-08-06： 细节向普通白帽子公开
2013-08-16： 细节向实习白帽子公开
2013-08-30： 细节向公众公开

简要描述：

sogou商机搜索涉及各种站后台数据库泄漏！有图为证

详细说明：

b2b搜索可以无限强女干各种站后台！各种类型的敏感信息！

漏洞证明：

1.jpg


2.jpg


QQ截图20130716160816.jpg


QQ截图20130716160835.jpg

QQ截图20130716160853.jpg


http://www.****.com/mp/login.php
http://www.****.com/aadd/login.php
http://www.****.cn/console/login.php
http://www.****.com/llw/login.php


上面这几个比较简单的，还可以解释为搜索引擎蜘蛛爬到的，毕竟后台地址比较简单嘛。
但下面这些我就无法理解了！是蜘蛛真的如斯强大？还是从其他地方直接抓取的呢？

QQ截图20130716161707.jpg

QQ截图20130716161718.jpg

QQ截图20130716161734.jpg

QQ截图20130716161904.jpg

修复方案：

学GG

版权声明：转载请注明来源 教官@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：7

确认时间：2013-07-17 12:18

厂商回复：

收到，感谢提供case

最新状态：

暂无

漏洞评价：

评论

  1. 2013-07-16 16:47 | Finger 认证白帽子 ( 普通白帽子 | Rank:777 漏洞数:95 | 最近有人冒充该账号行骗，任何自称Finger并...)

    又一超科幻的搜索结果啊

  2. 2013-07-16 17:08 | 齐迹 ( 核心白帽子 | Rank:784 漏洞数:100 | 一名普通的phper开发者，关注web安全。)

    牙刷 赶紧收藏这些后台！然后扫一下弱口令。应该能中不少！

  3. 2013-07-16 17:11 | 斯文的鸡蛋 ( 普通白帽子 | Rank:173 漏洞数:41 | 我在这头，你在那头~)

    这个一直都存在的，搜狗浏览器就是个坑~谁用谁倒霉

  4. 2013-07-16 17:28 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @齐迹 神器准备！

  5. 2013-07-16 17:30 | iiiiiiiii ( 普通白帽子 | Rank:680 漏洞数:89 | )

    ...没搜出几个大站的 是不是用搜狗浏览器的管理员太少了

  6. 2013-07-16 17:33 | erevus ( 普通白帽子 | Rank:177 漏洞数:31 | Hacked by @ringzero 我錯了)

    @iiiiiiiii 是你不会搜 我什么大站都搜到了 网易新浪腾讯

  7. 2013-07-16 17:38 | iiiiiiiii ( 普通白帽子 | Rank:680 漏洞数:89 | )

    @erevus 求方法 ！！！

  8. 2013-07-16 17:40 | 假面， ( 实习白帽子 | Rank:32 漏洞数:7 | 我是一个小小小小小sb~)

    @erevus 求指教怎么搜索~

  9. 2013-07-16 17:45 | 齐迹 ( 核心白帽子 | Rank:784 漏洞数:100 | 一名普通的phper开发者，关注web安全。)

    @iiiiiiiii 还是找到不少大站的后台。。。没有验证码的全给他们扫一扫！

  10. 2013-07-16 17:49 | iiiiiiiii ( 普通白帽子 | Rank:680 漏洞数:89 | )

    @齐迹 - -!! 求方法！！！

  11. 2013-07-16 18:08 | Finger 认证白帽子 ( 普通白帽子 | Rank:777 漏洞数:95 | 最近有人冒充该账号行骗，任何自称Finger并...)

    有浏览器的搜索引擎 你伤不起啊！

  12. 2013-07-16 18:10 | print ( 普通白帽子 | Rank:142 漏洞数:10 )

    @Finger 有浏览器 又有输入法的搜索引擎 你更伤不起！

  13. 2013-07-16 18:10 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @iiiiiiiii 没有啊 不少啊 全部是大站的 还有dedecms全部秒杀

  14. 2013-07-17 02:14 | 教官 ( 路人 | Rank:7 漏洞数:1 | 权限在手 天下我有)

    权限在手 天下我有

  15. 2013-07-17 12:20 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    sogou确认，360忽略 哈哈