当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-057520

漏洞标题：自动化社工系列之微爱域名劫持

相关厂商：北京发现角科技有限公司

漏洞作者： 巫妖

提交时间：2014-04-23 11:25

修复时间：2014-06-07 11:26

公开时间：2014-06-07 11:26

漏洞类型：重要敏感信息泄露

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-04-23： 细节已通知厂商并且等待厂商处理中
2014-04-23： 厂商已经确认，细节仅向厂商公开
2014-05-03： 细节向核心白帽子及相关领域专家公开
2014-05-13： 细节向普通白帽子公开
2014-05-23： 细节向实习白帽子公开
2014-06-07： 细节向公众公开

简要描述：

1.遍历乌云厂商列表获取厂商提供的域名
2.批量化查询域名列表的whois信息，获取whois里边的email列表
3.接入自制本地社工库api接口撞密码
email列表去重后数据543条，撞裤模糊命中率16.20626%，先发一个上来

详细说明：

163邮箱：tomxiechen@163.com
163密码：5668728

漏洞证明：

1.png


2.png


3.png


4.png


5.png


6.png


7.png


8.png


9.png

修复方案：

修改密码

版权声明：转载请注明来源 巫妖@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-04-23 14:34

厂商回复：

非常感谢帮我们发现了这个漏洞，之前的密码确实过于简单。现在重要的密码已经改成有密码生成器来生成，就不是那么容易破解的了。
另外，我想给作者发送礼物，但是木有联系方式

最新状态：

2014-04-23：已经处理，谢谢

漏洞评价：

评论

  1. 2014-04-18 10:06 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

    思路好

  2. 2014-04-23 10:17 | zer0. ( 路人 | Rank:14 漏洞数:6 | 大家好 我是zer0——零点)

    洞主，我想要裤子！

  3. 2014-04-23 11:27 | 伟哥 ( 普通白帽子 | Rank:110 漏洞数:29 | 不怕流氓有文化,就怕色狼有耐心,那么一只起...)

    email列表去重后数据543条，撞裤模糊命中率16.20626% 略叼

  4. 2014-04-23 11:28 | 乐乐、 ( 普通白帽子 | Rank:853 漏洞数:189 )

    ...........这个又发一次？

  5. 2014-04-23 11:29 | 0x_Jin ( 普通白帽子 | Rank:319 漏洞数:37 | 微博：http://weibo.com/J1n9999)

    自动化社工。。。

  6. 2014-04-23 13:36 | 乌云最帅的淫 ( 实习白帽子 | Rank:51 漏洞数:23 | 不以淫荡惊天下,就以闷骚动世人)

    我咋记得这个已经公开过一次了.咋又被锁上了...莫非是我穿越了

  7. 2014-04-23 15:01 | niliu 认证白帽子 ( 核心白帽子 | Rank:1542 漏洞数:206 | 逆流而上)

    @乌云最帅的淫 我也看到公开的了

  8. 2014-04-23 15:21 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @niliu @乌云最帅的淫 厂商的失误

  9. 2014-04-27 16:13 | 巫妖 ( 实习白帽子 | Rank:38 漏洞数:5 | 腚大屁股圆，家里一定很有钱)

    @北京发现角科技有限公司 厂商说是送礼品，都没取地址，直接就说礼物发送了。

  10. 2014-06-07 11:44 | 果冻好吃 ( 路人 | Rank:22 漏洞数:11 | 大学通知书下来那天，我迫不及待的用四百块...)

    @疯狗 http://www.wooyun.org/bugs/wooyun-2014-063146/trace/e0f5de020ca081731039b7f1bff699f2http://www.wooyun.org/bugs/wooyun-2014-063100/trace/1c619b350f3297a7461b6edd0c983183http://www.wooyun.org/bugs/wooyun-2014-063096/trace/fee14758f2b9bf4318ef7fce936b4763http://www.wooyun.org/bugs/wooyun-2014-063208/trace/d543563be01c9e29f54d1e51dd04bafc多久了知道吗？

  11. 2014-06-07 20:06 | 伟哥 ( 普通白帽子 | Rank:110 漏洞数:29 | 不怕流氓有文化,就怕色狼有耐心,那么一只起...)

    @果冻好吃 小骚年你别着急 你的账号信誉不好 所以审核慢

  12. 2014-06-07 20:14 | 果冻好吃 ( 路人 | Rank:22 漏洞数:11 | 大学通知书下来那天，我迫不及待的用四百块...)

    @伟哥 thx

  13. 2014-06-07 20:17 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

    @果冻好吃 狗哥结婚去了