漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0101810
漏洞标题：eYou游戏网站数据泄露(18W用户账号明文密码)
相关厂商：eyougame.com
漏洞作者： rqndx
提交时间：2015-03-17 16:52
修复时间：2015-03-18 19:35
公开时间：2015-03-18 19:35
漏洞类型：网络敏感信息泄漏
危害等级：中
自评Rank：6
漏洞状态：厂商已经修复
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-03-17： 细节已通知厂商并且等待厂商处理中
2015-03-17： 厂商已经确认，细节仅向厂商公开
2015-03-18： 厂商已经修复漏洞并主动公开，细节向公众公开
简要描述：
问题很简单，随便一个注册用户都可以有后台数据管理权限，没有任何限制。。。。
详细说明：
www.eyougame.com 随便注册用户，打开 admin.eyougame.com ...
用户大概18W左右，关键有个奇葩的功能，直接查看密码，输入会员账号，直接给明文密码。
看了下流水，还是很不错的。。。
关键不是我的菜，没有继续看，直接提交了。虽然数据不多，好歹是明文。。。
漏洞证明：
www.eyougame.com 随便注册用户，打开 admin.eyougame.com ...
用户大概18W左右，关键有个奇葩的功能，直接查看密码，输入会员账号，直接给明文密码。
看了下流水，还是很不错的。。。
关键不是我的菜，没有继续看，直接提交了。虽然数据不多，好歹是明文。。。
修复方案：
...
版权声明：转载请注明来源 rqndx@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2015-03-17 16:58
厂商回复：
谢谢,一直打算针对安全方面做一些改进的，结果一直忘记这事，感谢您的提交，非常感谢,我们会尽快修复此问题.
最新状态：
2015-03-18：粗心大意的漏洞,人为制造,但又非常致命，已经进行处理，感谢发现漏洞的朋友，以及乌云网，非常感谢!