漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-039387
漏洞标题：凡客某系统暴力破解账号密码2（已经证明影响）
相关厂商：凡客诚品
漏洞作者： N1ghtM4re
提交时间：2013-10-11 16:12
修复时间：2013-10-16 16:12
公开时间：2013-10-16 16:12
漏洞类型：后台弱口令
危害等级：高
自评Rank：15
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-11： 细节已通知厂商并且等待厂商处理中
2013-10-16： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
凡客共赢平台系统存在暴力破解账号密码
详细说明：
http://win.vjia.com/
虽然登录有验证码但是无法阻止暴力破解。
获得账号如下：
xiaochen,xiao,weiwei,11111,123456,1234567,hanhan，我比较懒就使用了123456进行测试。
这个都是品牌大卖家的账号，登录后发现影响很大
可以通过订单管理获得大量凡客买家的个人信息，姓名、电话、家庭住址。
另外，可以对卖家的店铺进行修改，如插入一段js恶意代码或挂马，那很多买家要受害啦！
对卖家用户要加强监管，不然最终受害者永远是用户啊！
漏洞证明：
修复方案：
你们懂得
版权声明：转载请注明来源 N1ghtM4re@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-10-16 16:12
厂商回复：
最新状态：
暂无
漏洞评价：
评论
-
@PgHook 难道要忽略？
( 核心白帽子 | Rank:1344 漏洞数:216 | 一个致力要将乌云变成搞笑论坛的男人)