漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-040230
漏洞标题：网易邮箱登录二次验证可绕过
相关厂商：网易
漏洞作者： 小龙
提交时间：2013-11-28 16:47
修复时间：2013-11-29 10:29
公开时间：2013-11-29 10:29
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-11-28： 细节已通知厂商并且等待厂商处理中
2013-11-29： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
网易
详细说明：
这个可以危害他人，原因：1：敏感信息多
2：你们已经被脱过库了
这个很无语。。
手机客户端也存在同类的。
可以想一下绕过后拿到一个密码，然后再利用社工，你懂得，呵呵。 假设他里面有500， 是玩网络的，赚了差不多3月，就这么被转走，呵呵。。 无语- -
你们库子泄露出去过，但是如果让别人设置这个还是安全的，但是还是被绕过了，拿到了XXX有限公司的FTP或者空间商，或者身份证在里面，那我就 不知道咯。。。
漏洞证明：
这个可以危害他人，原因：1：敏感信息多
2：你们已经被脱过库了
这个很无语。。
手机客户端也存在同类的。
可以想一下绕过后拿到一个密码，然后再利用社工，你懂得，呵呵。 假设他里面有500， 是玩网络的，赚了差不多3月，就这么被转走，呵呵。。 无语- -
你们库子泄露出去过，但是如果让别人设置这个还是安全的，但是还是被绕过了，拿到了XXX有限公司的FTP或者空间商，或者身份证在里面，那我就 不知道咯。。。
修复方案：
1：限制wap登陆，或者wap登陆也需要同步在163.com
2：手机客户段同步在163.com
3：都证明了。。
版权声明：转载请注明来源 小龙@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-11-29 10:29
厂商回复：
感谢您对网易的关注，该问题并不是安全漏洞。
最新状态：
暂无