当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-068238

漏洞标题：金山某员工信息泄漏引发的企业严重安全危机

相关厂商：金山软件集团

漏洞作者： 我是小号

提交时间：2014-07-12 10:04

修复时间：2014-08-26 10:06

公开时间：2014-08-26 10:06

漏洞类型：内部绝密信息泄漏

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-07-12： 细节已通知厂商并且等待厂商处理中
2014-07-12： 厂商已经确认，细节仅向厂商公开
2014-07-22： 细节向核心白帽子及相关领域专家公开
2014-08-01： 细节向普通白帽子公开
2014-08-11： 细节向实习白帽子公开
2014-08-26： 细节向公众公开

简要描述：

金山某员工信息泄漏引发的严重企业安全危机（过半官方微博/微信公众平台可遭控制）

详细说明：

声明：
按照相关法律，此次渗透测试未对贵公司的任何账号有任何恶意操作，也未对贵公司的任何重要数据进行下载，所有在该位与员工网盘上采集的信息已经在本人电脑上粉碎删除。按照白帽子精神本报告仅起警示作用，点到为止
#1.大数据对象收集
在人和网进行大数据收集到金山的某位员工（目前可能已经离职）

348064504@qq.com


#2.泄露密码采集
采集到该为员工（周杰）的泄露密码，并且分析出该位员工安全意识十分薄弱，使用的密码都是同一个于是开始尝试采集他泄漏的信息
#3.信息收集
登录该位员工的多个网站账号进行敏感信息收集，发现金山游戏的多个重要QQ和一些招聘平台和微博账号的密码直接被用txt形式存储在了网盘中，导致企业的安全危机。

5.png


10.png


漏洞证明：

~!.控制剑侠世界2官方微博和空间

0.png


1.png


9.png


~!.控制西山居微招聘微博

帐号：L*****ng@kingsoft.com
密码：x****88


~!.控制金山在多个招聘平台的账号

5.png


6.png


~!.大量员工简历泄漏

8.png


~!.数据库帐号密码泄漏（内网）

http://10.20.126.*5:7001/analy****/saw.dll?Dashb**ard
账号：yi*****i
密码：qian****o@0214


~!.大量游戏管理账号泄漏

7.png

修复方案：

1.员工安全意识教育（不能将大量企业重要的平台地址账号密码存储在网盘中）
2.企业定期修改密码机制
3.离职员工也会成为企业安全的定时炸弹，这个问题应该如何处理值得思考。

版权声明：转载请注明来源 我是小号@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-07-12 12:46

厂商回复：

连续的两个案例，已经深刻暴露出员工安全意识的严重性。我们会尽快实施相关规避措施。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-07-12 10:58 | 动后河 ( 实习白帽子 | Rank:51 漏洞数:13 | ☭)

    洞主可能是搜金山的邮箱，搜到了带邮箱带密码的

  2. 2014-07-12 11:08 | loli 认证白帽子 ( 普通白帽子 | Rank:550 漏洞数:52 )

    失业的节奏啊、、、

  3. 2014-07-12 11:17 | 袋鼠妈妈 ( 普通白帽子 | Rank:449 漏洞数:61 | 故乡的原风景.MP3)

    之前有过一次？

  4. 2014-08-26 16:02 | 爱Gail ( 普通白帽子 | Rank:237 漏洞数:38 | 爱漏洞、爱编程、爱旅游、爱Gail)

    木桶效应