当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-056003

漏洞标题：开源中国运维不当导致可随机登录用户并获取服务器敏感信息（成功登陆）

相关厂商：开源中国

漏洞作者： H1d3r

提交时间：2014-04-08 21:32

修复时间：2014-05-23 21:33

公开时间：2014-05-23 21:33

漏洞类型：系统/服务运维配置不当

危害等级：高

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-04-08： 细节已通知厂商并且等待厂商处理中
2014-04-08： 厂商已经确认，细节仅向厂商公开
2014-04-18： 细节向核心白帽子及相关领域专家公开
2014-04-28： 细节向普通白帽子公开
2014-05-08： 细节向实习白帽子公开
2014-05-23： 细节向公众公开

简要描述：

开源中国运维不当导致可获取随机登录用户并获取服务器敏感信息

详细说明：

www.oschina.net
登录页面使用了OpenSSL，但该版本的存在漏洞，可以随机获取登录帐号、服务器敏感信息等。

漏洞证明：

利用漏洞获取到帐号1016728789@qq.com
密码虽然使用了md5 但是可以解开

QQ图片20140408182546.jpg


解密md5后成功登录系统

2.jpg

修复方案：

如果服务器正在使用OpenSSL 1.0.1f，请务必立即升级到OpenSSL 1.0.1g。此外，1.0.1以前的版本不受此影响，但是1.0.2-beta仍需修复。

版权声明：转载请注明来源 H1d3r@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：18

确认时间：2014-04-08 22:25

厂商回复：

升级 OpenSSL 中

最新状态：

2014-04-09：已经升级 OpenSSL

漏洞评价：

评论

  1. 2014-04-08 22:14 | 孤心 ( 路人 | Rank:5 漏洞数:3 | php程序猿！渗透.入侵.社工...等我都不会！)

    消灭0回复

  2. 2014-04-09 00:26 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    @红薯 你菊花又掉了

  3. 2014-04-09 08:44 | yuer ( 路人 | Rank:7 漏洞数:3 | 我其实是菜鸟。。。)

    @蟋蟀哥哥 你oschina上也叫蟋蟀哥哥哇。。。

  4. 2014-04-09 08:55 | web天空 ( 路人 | Rank:1 漏洞数:1 | 你猜镇，不告诉你村。)

    红薯要哭了

  5. 2014-04-09 09:08 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    红薯让我给你们说，求求大家不要搞他了。。他最近都睡不好。

  6. 2014-04-09 09:10 | yuer ( 路人 | Rank:7 漏洞数:3 | 我其实是菜鸟。。。)

    @蟋蟀哥哥 怪不得老晚了还在线

  7. 2014-04-09 10:01 | H1d3r ( 路人 | Rank:18 漏洞数:2 | 　‮)

    @蟋蟀哥哥 (╯﹏╰)我只是想要个wooyun号而已。之前上oschina的时候记得看到有用https 所以就试了一下。。。

  8. 2014-04-09 18:36 | VIP ( 普通白帽子 | Rank:759 漏洞数:100 )

    = =我先提交的，你的过了= =

  9. 2014-04-13 11:26 | H1d3r ( 路人 | Rank:18 漏洞数:2 | 　‮)

    @VIP 乌云的审核机制有点问题 ╮(╯_╰)╭ 。 我提交的其他的也是后审核先通过了。。。

  10. 2014-05-23 22:41 | secgov ( 路人 | Rank:10 漏洞数:3 | 安全审计，漏洞挖掘,WAF. 揭露漏洞有风险，...)

    这个“红薯哥”一点也不认真。