当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-068238

漏洞标题:金山某员工信息泄漏引发的企业严重安全危机

相关厂商:金山软件集团

漏洞作者: 我是小号

提交时间:2014-07-12 10:04

修复时间:2014-08-26 10:06

公开时间:2014-08-26 10:06

漏洞类型:内部绝密信息泄漏

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-07-12: 细节已通知厂商并且等待厂商处理中
2014-07-12: 厂商已经确认,细节仅向厂商公开
2014-07-22: 细节向核心白帽子及相关领域专家公开
2014-08-01: 细节向普通白帽子公开
2014-08-11: 细节向实习白帽子公开
2014-08-26: 细节向公众公开

简要描述:

金山某员工信息泄漏引发的严重企业安全危机(过半官方微博/微信公众平台可遭控制)

详细说明:

声明:
按照相关法律,此次渗透测试未对贵公司的任何账号有任何恶意操作,也未对贵公司的任何重要数据进行下载,所有在该位与员工网盘上采集的信息已经在本人电脑上粉碎删除。按照白帽子精神本报告仅起警示作用,点到为止
#1.大数据对象收集
在人和网进行大数据收集到金山的某位员工(目前可能已经离职)

348064504@qq.com


#2.泄露密码采集
采集到该为员工(周杰)的泄露密码,并且分析出该位员工安全意识十分薄弱,使用的密码都是同一个于是开始尝试采集他泄漏的信息
#3.信息收集
登录该位员工的多个网站账号进行敏感信息收集,发现金山游戏的多个重要QQ和一些招聘平台和微博账号的密码直接被用txt形式存储在了网盘中,导致企业的安全危机。

5.png


10.png


漏洞证明:

~!.控制剑侠世界2官方微博和空间

0.png


1.png


9.png


~!.控制西山居微招聘微博

帐号:L*****ng@kingsoft.com
密码:x****88


~!.控制金山在多个招聘平台的账号

5.png


6.png


~!.大量员工简历泄漏

8.png


~!.数据库帐号密码泄漏(内网)

http://10.20.126.*5:7001/analy****/saw.dll?Dashb**ard
账号:yi*****i
密码:qian****o@0214


~!.大量游戏管理账号泄漏

7.png

修复方案:

1.员工安全意识教育(不能将大量企业重要的平台地址账号密码存储在网盘中)
2.企业定期修改密码机制
3.离职员工也会成为企业安全的定时炸弹,这个问题应该如何处理值得思考。

版权声明:转载请注明来源 我是小号@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2014-07-12 12:46

厂商回复:

连续的两个案例,已经深刻暴露出员工安全意识的严重性。我们会尽快实施相关规避措施。

最新状态:

暂无


漏洞评价:

评论

  1. 2014-07-12 10:58 | 动后河 ( 实习白帽子 | Rank:51 漏洞数:13 | ☭)

    洞主可能是搜金山的邮箱,搜到了带邮箱带密码的

  2. 2014-07-12 11:08 | loli 认证白帽子 ( 普通白帽子 | Rank:550 漏洞数:52 )

    失业的节奏啊、、、

  3. 2014-07-12 11:17 | 袋鼠妈妈 ( 普通白帽子 | Rank:449 漏洞数:61 | 故乡的原风景.MP3)

    之前有过一次?

  4. 2014-08-26 16:02 | 爱Gail ( 普通白帽子 | Rank:237 漏洞数:38 | 爱漏洞、爱编程、爱旅游、爱Gail)

    木桶效应