WooYun.org

我不得不想说两句了啊。上次我发个SQL注入，你们给1 rank. 我想肯定是 你们觉得危害不够，不值得。 然后现在这个洞 本来我想就直接贴出来地址就算了，但鉴于你们要看到漏洞的危害程度，所以就深入了下 你们还给1 rank 还说要追究什么法律责任？我不知道你们为什么对白帽子这么反感，自己不重视安全，我们不要你们任何酬劳 仅仅需要你们对我们的劳动肯定一下而已 这样都不行吗？

算了 我手里还有一大堆金蝶的漏洞 。既然都是1 rank的节奏 我也不发了。谁爱发谁发去。你们非要那些有目的的黑客把你们的库全都脱了 然后像CSDN一样 你们才开心。

厂商回复亮了。。。。。。。。。

我大概看了下 金蝶厂商回复 其他白帽子的话。大都是显示出不屑，就感觉自己很牛逼，别人都是2B。 然后说人家找的漏洞没技术含量。我想问啥叫有技术含量？ 可惜的是你们自己连没有技术含量的洞都防不住，那你们是什么含量呢？

金蝶滚出乌云！

@xsser 你怎么看 这要是敢在我大D吧这么嚣张早就十轮了

命令执行 哈哈 我知道了 我也去发点金蝶的漏洞

你确认要追究法律责任么 金蝶？

右击感谢获取金蝶数据库下载地址 谢谢合作

哈哈哈。这是脱裤的节奏吗

脱了金蝶内网 搞源码 代码审计。发通用漏洞 到cnvd 给厂商压力。

你确认要追究法律责任么 金蝶？

@xsser 是我直接脱了，这样的态度，乌云官方没反应？

你确认要追究法律责任么 金蝶？

跟在大牛后面 我也刷了几个2013-11-14 金蝶网分站命令执行第六弹 未审核2013-11-14 金蝶网分站命令执行第五弹 未审核2013-11-14 金蝶网分站命令执行第四弹 未审核2013-11-14 金蝶网分站命令执行第三弹 未审核2013-11-14 金蝶网分站命令执行第二弹 未审核2013-11-14 金蝶网分站命令执行第一弹 未审核不知道给不给过啊哪怕都给1 RANK 也可以啊 哈哈

你确认要追究法律责任么 金蝶？

就算按厂商回复的感叹号也得至少给3rank啊，我和小伙伴们都惊呆了。

我听说过这个报道 后来这个公司的人都死了

這樣的廠商居然沒有被輪暴！這是wooyun的白帽子太善良還是某蝶太囂張？？

都特么别扯了 找个黑网吧爆厂商洞 还有推广营销站权限可以xx00 让他火一把 我会有这种奇怪的想法吗 不会的！

@xsser 把我提交的6个都过了吧。我不怕给1 rank。 六弹全部摆出来 也霸气啊。

厂商这么说话，估计过不了多久网上就能下载到裤子了

此贴要火,厂商更要火

@蟋蟀哥哥 脱完裤子就格盘

此贴要火,厂商更要火

@Sunshine 硬盤物理損壞 備份盤也是

此帖必火

此帖必火

此贴后，金蝶无漏洞。

@想要减肥的胖纸 这个方法是最理智的

傻逼厂商，他妈的干他一炮他就知道危害了，垃圾

强烈建议来个厂商清出制度。。厂商要安全，我们要尊严。。@xsser

三炮的金蝶，此后你是最安全的

@全体成员 大家不要冲动！厂商需要被教育，但是咱们自己也要反思，以后测试漏洞的时候，怎么去做好自我保护。

@疯狗@xsser该你们来说两句了

这是要火啊

@sql 顶你

怎么和盛大一样，别人还出来道歉了。坐等裤子~~坐等把金蝶强制开源~

感谢广大基友捧场。我只是觉得金蝶厂商的思维很奇怪。其他厂商都是巴不得白帽子们免费把他们的漏洞都找出来，然后尽快修复，自己也省了笔风险评估的费用。而金蝶是生怕自己的漏洞被找到，找到了也不修补，反正不出事则已，一出事全赖乌云白帽子们，，把我们都当替罪羊，我会乱说？我去年买了个包，超耐磨。

@sql 有点太偏激了。

@坏虾 你自己看看人家的回复 看是否偏激了？不要告诉我 你就是金蝶的马甲,你发了两次言都是替他们说话。

默默的把他们裤子脱了，然后诏告天下，估计他们对白帽子的不屑与趾高气扬的态度会又算转变。

@sql @xsser 坐等金蝶開源 坐等某蝶倒閉

此贴过后，金蝶再无漏洞。

@帅气凌云 某碟没有错，坐等这个运维人员被开除。向某碟的管理部门发匿名举报信吧

这个彪子厂商，直接脱裤吧，不用给你们提漏洞了

小号都来了，大号哪里有理由不捧场

金蝶已火，小伙伴们要冷静哈

坐等金蝶開源

金蝶垃圾，支持SQL大牛。

求裤 来一份

坐等裤子

金蝶这是要挑战权威，还追究法律责任？不懂游戏规则

这种厂商就是欠日的，大家围剿之！

@sql @金蝶 这个漏洞对于厂商来说确实危害比较大，白帽对漏洞保密的情况下善意提交给厂商，并且说明细节防止问题的遗漏，是比较负责任的做法，不要认为白帽子不提交，黑产就没人知道与利用。希望金蝶能在乌云的企业形象能进行一些理解与感激，如果漏洞细节有什么不妥（设计敏感内容），可以联系我处理。

另外也希望白帽子在漏洞证明做到可以说明对数据的影响和利用细节即可。

提交漏洞的话是不要提多少万数据遭泄漏之类的，你让厂商情何以堪！描述中写一些危害程度就足够了！！

@sql @金蝶 这个漏洞对于厂商来说确实危害比较大，白帽对漏洞保密的情况下善意提交给厂商，并且说明细节防止问题的遗漏，是比较负责任的做法，不要认为白帽子不提交，黑产就没人知道与利用。 希望金蝶能在乌云的企业形象能进行一些理解与感激，如果漏洞细节有什么不妥（设计敏感内容），可以联系 乌云官方 处理。

哎哟 @金蝶 你也好意思说这句话？

从此以后无金蝶

坐等开源~~

@索马里的海贼 惊现百度第一大吧吧主

首先，厂商的回复肯定是不妥的；白帽子应该不要滥用“用户数据遭泄露”，如果非白帽子自身行为导致的数据泄露，请不要使用类似的措辞。若是白帽子自身行为导致的数据泄露，厂商追责肯定是取决于无奈。总之，请白帽子自律，厂商对漏洞信息负责。 如果真的保留进一步追究法律责任的权利！ 我只能对这个行业说，呵呵了。

个人觉得白帽子把漏洞所在的地方写出来就好，没必要去把人家的数据库看一遍，上传个shell在内网看一遍，违背白帽子精神了。厂商追究的话也有道理的。

白帽子提交漏洞本意是好的，但不要以为你发到乌云上你就是不违法，不担责的，如果厂商告你，谁也保护不了你，发现漏洞是好的，但如果脱了人家数据，或看了机密的数据，这都是有可能承担责任的。国家法律高于一切。 厂商的态度让人很不爽，这并不是负责任的态度，反而拒绝接受善意提醒的顽固表现惹怒了大家，应该自省，不要以为你们金蝶很牛逼，供很多政企客户多了就以为自己好想攀上了什么关系有了说话权，别把自己想得如此不凡。其实你们不堪一击。

@hacker@sina.cn 点了

@hacker@sina.cn 点了

留名先

/corp_detail.php?corp=%E9%87%91%E8%9D%B6 逗比厂商已火2013-11-14 00:01 | 淡漠天空 ( 实习白帽子 | Rank:540 漏洞数:81 | 路人的世界) 1右击感谢获取金蝶数据库下载地址 谢谢合作

厂商回复好靓，坐等裤子了

@hacker@sina.cn 点了

@金蝶 你为何这么屌

金蝶这下火了，出名了，壮了，该那啥了。。。。

@金蝶 你为何这么屌

厂商”中国移动”已经封禁了，金蝶你也坐等封闭吗？不要以为只有白帽子会找你的漏洞，白帽子玩漏洞大多是是玩的经验和rank，骇客也照样找你的漏洞，骇客则对你的数据库感兴趣！

@hacker@sina.cn 点赞了

金蝶的运维人员，你在乌云很牛 ，你们老总知道吗？

垃圾厂商写垃圾软件，坚决地址垃圾～～

@金蝶 你为何这么屌？你在乌云这么屌你家人知道么？

首先，看到厂商的回复，我想问一句，楼主造成了什么损失？可否详细说明？然后再问问@金蝶 我大概看了一下金蝶的漏洞，大部分都是1rank或者低rank。只能说，有这样的运维，金蝶迟早被轮···

@金蝶 金蝶滚出乌云！然后大家轮奸金碟。法律责任？？？呵呵，你TM去啊，别TM在乌云放大话。

金蝶 你在乌云那么叼 你家人知道吗？

金蝶厂商针对漏洞的评分等级，跟别人理解的不同。struts2这种工具党只会给1RANK ，而弱口令什么的，会给到10RANK而SQL注入，依然会给到20RANK 请大家不要再偏激了。注：我是分析了金蝶几十个漏洞的评分而说的。本人跟金蝶无任何瓜葛。

金蝶滚出乌云！金蝶滚出乌云！

金蝶尼玛，太下气。。。。。

这厂商，略叼啊

看这回复就来气~

不要格盘随机删数据，这样不容易被发现，等想到了估计备份也木有了。都被覆盖了

mark

哎呦我搓，数据偷偷卖了够你买几个爱疯了，傻

厂商也太不珍惜白帽子的付出了，想想你们买一次安全服务得多少钱