当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-048386

漏洞标题：人人网的那些越权事9-投票某功能平行权限漏洞

相关厂商：人人网

漏洞作者： 小川

提交时间：2014-01-09 14:28

修复时间：2014-02-23 14:28

公开时间：2014-02-23 14:28

漏洞类型：未授权访问/权限绕过

危害等级：中

自评Rank：7

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-01-09： 细节已通知厂商并且等待厂商处理中
2014-01-09： 厂商已经确认，细节仅向厂商公开
2014-01-19： 细节向核心白帽子及相关领域专家公开
2014-01-29： 细节向普通白帽子公开
2014-02-08： 细节向实习白帽子公开
2014-02-23： 细节向公众公开

简要描述：

小伙伴们既然跟上了，那我就出9了。主站、搜索引擎、子域名查询、这些用过后你会更了解厂商的一业务，即使在后面你会发现其实也可以不饶这么多弯，厂商既然有这些业务系统，自然会有个入口让你找到，要不然他开发这个系统干啥用？

详细说明：

ragecomic9.png

漏洞证明：

.PNG

修复方案：

加强权限控制

版权声明：转载请注明来源 小川@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：6

确认时间：2014-01-09 15:00

厂商回复：

Thks!!

最新状态：

暂无

漏洞评价：

评论

  1. 2014-01-09 14:34 | 低调 ( 实习白帽子 | Rank:42 漏洞数:18 | .......)

    对人人的朋友们表示同情，小川不带这样的不能摁着一头羊可劲薅

  2. 2014-01-09 14:41 | niliu 认证白帽子 ( 核心白帽子 | Rank:1542 漏洞数:206 | 逆流而上)

    可劲薅

  3. 2014-01-09 14:46 | 0x004er ( 实习白帽子 | Rank:48 漏洞数:19 | 。。。。。。。)

    可劲薅

  4. 2014-01-09 14:48 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    哈哈，8被我抢了。为了保持队形，只好接着出9。

  5. 2014-01-09 14:56 | l137 ( 路人 | Rank:27 漏洞数:8 | 我叫mt)

    可劲薅

  6. 2014-01-09 15:03 | 小川 认证白帽子 ( 核心白帽子 | Rank:1344 漏洞数:216 | 一个致力要将乌云变成搞笑论坛的男人)

    停了，不挖了！

  7. 2014-01-09 15:11 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    @小川 我花点时间去再续点吧。到时候要是得了最撸力洞主，记得分我点WB

  8. 2014-01-09 15:32 | 4399gdww ( 路人 | Rank:20 漏洞数:4 | )

    可劲薅

  9. 2014-01-09 16:16 | Mody ( 普通白帽子 | Rank:110 漏洞数:27 | "><img src=x onerror=alert(1);> <img s...)

    可劲薅

  10. 2014-01-09 16:35 | Arctic ( 实习白帽子 | Rank:75 漏洞数:21 | 我就是来看看的)

    川总常用的那个工具是啥？求科普..

  11. 2014-01-09 17:53 | 猥琐 ( 路人 | Rank:6 漏洞数:2 | 学习什么的最重要！)

    @Arctic 我猜是Fiddler2

  12. 2014-01-09 18:13 | 麻花藤 ( 路人 | Rank:15 漏洞数:1 | ด้้้้้็็็็็้้้้้็็็็...)

    可劲薅

  13. 2014-01-09 19:08 | Arctic ( 实习白帽子 | Rank:75 漏洞数:21 | 我就是来看看的)

    @猥琐 是软件还是插件？

  14. 2014-01-17 18:22 | 猥琐 ( 路人 | Rank:6 漏洞数:2 | 学习什么的最重要！)

    @Arctic http://drops.wooyun.org/tips/727http://baike.baidu.com/link?url=8d37DzNWODrANFZ_CwP8E2FXRfF90DTeeUjfayaWaRCjY04q9_9asZ7pUEOKpG17

  15. 2014-01-18 14:58 | Arctic ( 实习白帽子 | Rank:75 漏洞数:21 | 我就是来看看的)

    @猥琐 thx

  16. 2014-02-11 21:11 | wusuopubupt ( 路人 | Rank:3 漏洞数:2 | BUPTer, linux lover.)

    都成一个系列了啊！

  17. 2014-02-23 23:15 | tSt ( 路人 | Rank:27 漏洞数:7 | 在开发里运维最强，运维里网络最强，网络里...)

    可劲薅