当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-064278

漏洞标题：土豆网敏感信息泄漏（内部数据库配置以及邮箱密码）

相关厂商：土豆网

漏洞作者： 鸟云厂商

提交时间：2014-06-10 08:34

修复时间：2014-07-25 08:36

公开时间：2014-07-25 08:36

漏洞类型：内部绝密信息泄漏

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-06-10： 细节已通知厂商并且等待厂商处理中
2014-06-10： 厂商已经确认，细节仅向厂商公开
2014-06-20： 细节向核心白帽子及相关领域专家公开
2014-06-30： 细节向普通白帽子公开
2014-07-10： 细节向实习白帽子公开
2014-07-25： 细节向公众公开

简要描述：

唉

详细说明：

https://github.com/wujiajun/juzhai-static/blob/e9ede9094a69a38feea6499272034e5078d3f64d/static/build.property.xml

<!-- 发布的服务器参数 -->
	<!-- product环境 -->
	<property name="product.server" value="192.168.3.197"/>
	<property name="product.username" value=""/>
	<property name="product.password" value=""/>
	<property name="product.port" value="22"/>
	<property name="product.user.dir" value="/root"/>
	<!-- product机器上的JAVA_HOME路径,必需 -->
	<property name="product.javahome" value="/usr/java/jdk1.6.0_20/"/>
	<!-- product机器上的tomcat路径 -->
	<property name="product.tomcat.dir" value="/usr/local/tomcat/"/>
	<property name="product.tomcat.webapps.dir" value="${test.tomcat.dir}/webapps"/>
	<!-- product应用的访问地址,用来自动判定是否发布成功 -->	
	<property name="product.deploy.url" value="http://192.168.3.197:8080/karaoke/index.html"/>
	<!-- test环境 -->	
	<property name="test.server" value="192.168.3.220"/>
	<property name="test.username" value="root"/>
	<property name="test.password" value="111111"/>
	<property name="test.port" value="22"/>
	<property name="test.user.dir" value="/root"/>
	<!-- test机器上的JAVA_HOME路径,必需 -->
	<property name="test.javahome" value="/usr/java/jdk1.6.0_20/"/>
	<!-- test机器上的tomcat路径 -->
	<property name="test.tomcat.dir" value="/usr/local/tomcat/"/>
	<property name="test.tomcat.webapps.dir" value="${test.tomcat.dir}/webapps"/>
	<!-- 发布在webapps下的哪个目录 -->
	<property name="deploy.dirname" value="karaoke"/>
	<!-- test应用的访问地址,用来自动判定是否发布成功 -->	
	<property name="test.deploy.url" value="http://192.168.3.220:8090/karaoke/index.html"/>
	<!-- test out 环境 -->	
		<property name="test-out.server" value="192.168.3.161"/>
		<property name="test-out.username" value="root"/>
		<property name="test-out.password" value="111111"/>
		<property name="test-out.port" value="22"/>
		<property name="test-out.user.dir" value="/root"/>
		<!-- test-out机器上的JAVA_HOME路径,必需 -->
		<property name="test-out.javahome" value="/usr/java/jdk1.6.0_20/"/>
		<!-- test-out机器上的tomcat路径 -->
		<property name="test-out.tomcat.dir" value="/usr/local/tomcat/"/>
		<property name="test-out.tomcat.webapps.dir" value="${test-out.tomcat.dir}/webapps"/>
		<!-- 发布在webapps下的哪个目录 -->
		<property name="deploy.dirname" value="karaoke"/>
		<!-- test-out应用的访问地址,用来自动判定是否发布成功 -->	
		<property name="test-out.deploy.url" value="http://192.168.3.161:8080/karaoke/index.html"/>
	<!-- 中转ssh服务器参数 -->
	<property name="transfer.server" value="10.24.251.101"/>
	<property name="transfer.username" value="huangjunjie"/>
	<property name="transfer.password" value="fucknima"/>
	<property name="transfer.port" value="9090"/>


<!-- 线上服务器参数　-->
    <property name="www1.server" value="wwwcl1"/>
    <property name="www1.username" value="sport"/>
    <property name="www1.password" value="sport"/>
    <property name="www1.port" value="20"/>
    <property name="www1.javahome" value="/usr/java/jdk1.6.0_03"/>
    <property name="www1.user.dir" value="/home/${www1.username}"/>
    <property name="www1.tomcat.dir" value="/home/sport-tomcat/apache-tomcat-6.0.18-cms"/>
    <property name="www1.tomcat.webapps.dir" value="${www1.tomcat.dir}/webapps"/>
    <property name="www2.server" value="wwwcl2"/>
    <property name="www2.username" value="sport"/>
    <property name="www2.password" value="sport"/>
    <property name="www2.port" value="20"/>
    <property name="www2.javahome" value="/usr/java/jdk1.6.0_03"/>
    <property name="www2.user.dir" value="/home/${www2.username}"/>
    <property name="www2.tomcat.dir" value="/home/sport/apache-tomcat-6.0.18-cms"/>
    <property name="www2.tomcat.webapps.dir" value="${www2.tomcat.dir}/webapps"/>
    <!-- wwwrtest服务器参数　-->
    <property name="wwwtest.server" value="online-test2" />
    <property name="wwwtest.username" value="game" />
    <property name="wwwtest.password" value="toodou" />
    <property name="wwwtest.port" value="20" />
    <property name="wwwtest.javahome" value="/usr/java/jdk1.6.0_03" />
    <property name="wwwtest.user.dir" value="/home/${wwwtest.username}" />
    <property name="wwwtest.tomcat.dir" value="${wwwtest.user.dir}/game/apache-tomcat-6.0.18" />
    <property name="wwwtest.tomcat.webapps.dir" value="${wwwtest.tomcat.dir}/webapps" />
	<!-- mail server -->
	<property name="mailhost" value="smtp.gmail.com"/>
	<property name="subject" value="${project.name}测试环境已发布"/>
	<property name="mail.user" value="build.ant.tudou"/>
	<property name="mail.password" value="admin123"/>
	<property name="mailport" value="465"/>
	<property name="messagemimetype" value="text/html"/>
	<property name="mail.ssl" value="true"/>
	<!-- 收件人 -->
	<property name="mail.tolist" value="zhzhang@tudou.com,jannocktony@gmail.com"/>
	<property name="mail.from" value="zhzhang@tudou.com"/>
	<!-- 回复地址 -->
	<property name="mail.replyto" value="zhzhang@tudou.com"/>
	<!-- 抄送 -->
	<property name="cclist" value="zhzhang@tudou.com,bloodwroth@gmail.com"/>
	<property name="mail.message" value="${project.name}已发布到TEST,访问地址: ${test.deploy.url}"/>
	<!-- flex协议xsd文件的地址 -->
	<property name="svn.url" value="svn://server12/zdjt/globe/documents/NetProtocol/ProtocolForJava.xsd"/>
	<property name="svn.username" value="morgan"/>
	<property name="svn.password" value="SVmorG1N"/>

漏洞证明：

其中内部数据库暂时无验证环境，邮箱证实可以登录（邮箱内也包含敏感数据）

tudoqu.jpg


修复方案：

版权声明：转载请注明来源 鸟云厂商@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2014-06-10 09:10

厂商回复：

赞一个

最新状态：

暂无

漏洞评价：

评论

  1. 2014-06-10 09:31 | 马杀鸡 ( 路人 | Rank:21 漏洞数:5 | 作为一匹勇敢的马，杀鸡是必不可少的)

    不是github开始刷分了吧