当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-068465

漏洞标题：暴走漫画APP设计不当导致一次无趣的Fuzzing（5000账号密码已出）

相关厂商：baozoumanhua.com

漏洞作者： 郭斯特

提交时间：2014-07-14 11:47

修复时间：2014-08-28 11:48

公开时间：2014-08-28 11:48

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-07-14： 细节已通知厂商并且等待厂商处理中
2014-07-14： 厂商已经确认，细节仅向厂商公开
2014-07-24： 细节向核心白帽子及相关领域专家公开
2014-08-03： 细节向普通白帽子公开
2014-08-13： 细节向实习白帽子公开
2014-08-28： 细节向公众公开

简要描述：

暴走漫画APP设计不当导致一次无趣的Fuzzing（5000账号密码已出）

详细说明：

这个漏洞居然忽略了...
WooYun: 暴走漫画APP搭配不当导致一次有趣的Fuzzing（成功率接近1/10）
不过今天厂商找到我联系说不是故意忽略的...然后叫我提交多个补Rank ~ 中国好厂商！！赞！（差点让技术大哥丢了工作...Sorry~）
WooYun: 暴走漫画APP搭配不当导致一次有趣的Fuzzing（成功率接近1/10）
除了上面提交的接口存在问题 还有几个存在问题的接口
site:baozoumanhua.com -inurl:www
http://debug.baozoumanhua.com/login
http://m.baozou.com/login

漏洞证明：

方法和上次一样...这里我就不重复了，
直接上一张效果图...

1111.png


修复方案：

设置验证码获取ip限制等
或者把login字段内容隐藏起来
WooYun: 暴走漫画APP搭配不当导致一次有趣的Fuzzing（成功率接近1/10）
这个漏洞的账号密码数据麻烦狗哥@疯狗 @xss删了（厂商说对他们有影响~）

版权声明：转载请注明来源 郭斯特@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-07-14 13:11

厂商回复：

会对登陆的接口做参数加密验证

最新状态：

暂无

漏洞评价：

评论

  1. 2014-07-14 11:50 | 袋鼠妈妈 ( 普通白帽子 | Rank:449 漏洞数:61 | 故乡的原风景.MP3)

    5000

  2. 2014-07-14 12:03 | hacker@sina.cn ( 普通白帽子 | Rank:288 漏洞数:27 | ANONYMOUS)

    关注一下

  3. 2014-07-14 12:09 | Ivan ( 实习白帽子 | Rank:81 漏洞数:9 | 小菜逼一个)

    有SQL Injection？

  4. 2014-07-14 12:10 | U神 ( 核心白帽子 | Rank:1285 漏洞数:142 | 感谢乌云，知恩不忘，其实我一直都在乌云默...)

    已联系王尼玛处理漏洞

  5. 2014-07-14 12:14 | 郭斯特 ( 普通白帽子 | Rank:181 漏洞数:69 | GhostWin)

    @U神 啊哈哈，我有王尼玛照片啦~

  6. 2014-07-14 13:05 | Jn· ( 路人 | Rank:30 漏洞数:14 | 本小菜很可爱，如果不服你TM来打我啊--哎呀...)

    已联系王尼玛处理漏洞

  7. 2014-07-14 13:14 | 郭斯特 ( 普通白帽子 | Rank:181 漏洞数:69 | GhostWin)

    麻烦 @疯狗 @xss 删了 WooYun: 暴走漫画APP搭配不当导致一次有趣的Fuzzing（成功率接近1/10） 的测试账号密码（会影响业务）

  8. 2014-07-14 15:50 | Jack.Chalres ( 实习白帽子 | Rank:39 漏洞数:15 | ..............)

    已联系王尼玛处理漏洞

  9. 2014-07-14 15:53 | 大亮 ( 普通白帽子 | Rank:306 漏洞数:65 | 慢慢挖洞)

    mark,@小川，你怎么看

  10. 2014-07-15 08:28 | 浮萍 ( 普通白帽子 | Rank:555 漏洞数:118 | 默默潜水)

    没有暴漫看

  11. 2014-07-19 15:17 | 七寸往事 ( 实习白帽子 | Rank:60 漏洞数:17 | <script>alert(document.cookie)</script>)

    郭斯特大牛，你又在这里吹牛了逼了。工头到处找你，叫你赶紧回工地去，还有两车水泥要卸，工头说再不回去你那10天300块多工钱一分都别想拿到。还有村长来电话了，叫我转告你，隔壁村的王寡妇来你家提亲了，叫你明天赶紧结工钱回去和她把婚事给办了。 还有你侄子的DNA检验结果出来了，你侄子不是你和你嫂子的，隔壁张大婶也去乡里派出所撤案了，说5年前你偷看她洗澡的事情就算了，安心回村里来吧，村里通电了，电话通了，路也修好了，不要在这瞎逛胡说八道了。 快回去，兄弟，另外，你交代的事已经办好了，孩子已经打掉了，她现在刚从医院出来，我安排她在医院附近的宾馆住下了，她的身体很虚弱，有时间的话你可以去看看她，毕竟她是你的女人，打你的电话不接，发短信又不回，作为兄弟我只能帮你到这儿了，好自为之。 我知道你不能让另外一个女的知道，但是我也只能在这儿留言了，但是我想问的是你居然还有心情在这儿挖洞？