当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-073112

漏洞标题：知道创宇旗下品牌宝站长实名认证信息泄漏

相关厂商：知道创宇

漏洞作者： 冰冻冷咖啡

提交时间：2014-08-20 09:22

修复时间：2014-10-04 09:24

公开时间：2014-10-04 09:24

漏洞类型：系统/服务运维配置不当

危害等级：中

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-20： 细节已通知厂商并且等待厂商处理中
2014-08-20： 厂商已经确认，细节仅向厂商公开
2014-08-30： 细节向核心白帽子及相关领域专家公开
2014-09-09： 细节向普通白帽子公开
2014-09-19： 细节向实习白帽子公开
2014-10-04： 细节向公众公开

简要描述：

认证链接改个后缀 直接手机号就出来了....真要是有人社工,你这是不是个坑啊?

详细说明：

认证后链接
http://www.anquan.org/authenticate/cert/?site=www.cjk3d.net&at=personal
改为
http://www.anquan.org/authenticate/cert/?site=www.cjk3d.net&at=official
可以看到具体的手机号
用来社工等等也是极好的.

http://www.baidu.com/s?ie=utf-8&wd=inurl%3Ahttp%3A%2F%2Fwww.anquan.org%2Fauthenticate%2Fcert%2F%3Fsite&tn=baiduhome_pg&oq=inurl%3Ahttp%3A%2F%2Fwww.anquan.org%2Fauthenticate%2Fcert%2F%3Fsite&rsv_spt=1&issp=1&rsv_bp=0&pn=0

漏洞证明：

随便找一个
http://www.anquan.org/authenticate/cert/?site=www.glsl.com.cn&at=personal

WOOYUN2.jpg


改为
http://www.anquan.org/authenticate/cert/?site=www.glsl.com.cn&at=official

WOOYUN3.jpg

修复方案：

我不会..但是麻烦你们的个人站长认证,能不能增加QQ安全链接啊? 不然认证你个人站长做什么?

版权声明：转载请注明来源 冰冻冷咖啡@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2014-08-20 11:16

厂商回复：

漏洞已经修复，非常感谢！

最新状态：

暂无

漏洞评价：

评论

  1. 2014-08-20 09:33 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    哦

  2. 2014-08-20 10:25 | erevus ( 普通白帽子 | Rank:177 漏洞数:31 | Hacked by @ringzero 我錯了)

    哦

  3. 2014-08-20 10:37 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

    哦

  4. 2014-08-20 11:37 | loli 认证白帽子 ( 普通白帽子 | Rank:550 漏洞数:52 )

    大力点

  5. 2014-08-20 17:19 | chock ( 实习白帽子 | Rank:58 漏洞数:15 | 今夜我们都是wooyun人，我们一定要收购长亭)

    疼

  6. 2014-08-20 18:07 | 紫霞仙子 ( 普通白帽子 | Rank:2027 漏洞数:279 | 天天向上 ！！！)

    不要

  7. 2014-08-20 18:07 | 海绵宝宝 ( 普通白帽子 | Rank:243 漏洞数:50 | 唯有梦想与好姑娘不可辜负.)

    停

  8. 2014-09-09 17:09 | 老和尚 ( 普通白帽子 | Rank:223 漏洞数:45 | 总有一天，我会骑着雨牛@'雨。踩着一哥@jan...)

    啊