漏洞概要
关注数(24)
关注此漏洞
漏洞标题：新网运营不当至少几十万用户信息泄漏（涵括主站各类服务）
提交时间：2015-05-08 10:17
修复时间：2015-06-22 10:58
公开时间：2015-06-22 10:58
漏洞类型：用户资料大量泄漏
危害等级：高
自评Rank：13
漏洞状态：厂商已经确认
Tags标签：
无
漏洞详情
披露状态：
2015-05-08： 细节已通知厂商并且等待厂商处理中
2015-05-08： 厂商已经确认，细节仅向厂商公开
2015-05-18： 细节向核心白帽子及相关领域专家公开
2015-05-28： 细节向普通白帽子公开
2015-06-07： 细节向实习白帽子公开
2015-06-22： 细节向公众公开
简要描述：
总数是是(25820 ×10)+ (77738 ×10)=X
包括全中国某些大小公司甚至连敏感部门都有··
至少有数十万信息是包括（服务器帐号，服务器密码，密码，手机，会员ID，邮箱，数据库密码.....）
还自带越权功能，开发说“怪我咯？”
详细说明：
虽然是一个小小的客服帐号，但是可以查看非自己处理的事件的权限，也是蛮屌的
客户查询那里搜索
用户名/密码：liyun@300.cn/liyun@300.cn
漏洞证明：
其实就是主站售后服务的系统把？
涵括各类服务。
这个是邮箱服务，可以看到用户直接把密码都给你。
主站业务平台的服务，又给密码了。
这个是备案服务，直接把备案帐号密码给了。
这个是虚拟机主机的服务，可以看到详细的客户信息，秒脱库不是问题把。
这个是VPS帐号密码，信息目测是自动获取的。杯具咯····
还在为没有肉鸡发愁吗？
可以查询指定客户信息
可以模糊搜索
难道整个新网的ID都可以遍历了？
JC叔叔的也有哦···
平均每页十个用户。一共11页
公安服务器测漏···
修复方案：
版权声明：转载请注明来源 殺器王子@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-05-08 10:56
厂商回复：
非常感谢殺器王子@乌云，小新正在玩命确认及修复中
最新状态：
2015-06-03：漏洞已修复，非常感谢殺器王子@乌云
漏洞评价：
评论
-
2015-05-08 09:49 |
Mr.leo ( 普通白帽子 | Rank:1314 漏洞数:176 | 说点神马呢！！)
-
2015-05-08 09:50 |
浩天 
( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)
-
2015-05-08 09:50 |
小川 ( 核心白帽子 | Rank:1344 漏洞数:216 | 一个致力要将乌云变成搞笑论坛的男人)
-
2015-05-08 09:54 |
园长 ( 普通白帽子 | Rank:134 漏洞数:14 | 你在身边就是缘，缘分写在数据库里面。)
-
2015-05-08 09:56 |
浩天 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)
-
2015-05-08 09:59 |
小胖子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)
-
2015-05-08 10:01 |
Blackgame ( 实习白帽子 | Rank:70 漏洞数:13 | dddd)
-
2015-05-08 10:02 |
刘海哥 ( 普通白帽子 | Rank:114 漏洞数:28 | 索要联系方式但不送礼物的厂商定义为无良厂...)
-
2015-05-08 10:37 |
殺器王子 ( 普通白帽子 | Rank:142 漏洞数:7 | 磨刀霍霍向猪羊，手握殺器日天下)
@小川 小兄弟，你太年轻了你以为这个乌云前十名真的有那么多大牛吗？其他都是我一个人刷的，不然我换个马甲发同样的话给你看
-
2015-05-08 12:11 |
孤独行者 ( 普通白帽子 | Rank:110 漏洞数:44 | 时光如水，总是无言。你若安好，便是晴天)
@小川 小兄弟，你太年轻了你以为这个乌云前十名真的有那么多大牛吗？其他都是我一个人刷的，不然我换个马甲发同样的话给你看
-
2015-05-08 19:33 |
#6c6c6c ( 普通白帽子 | Rank:291 漏洞数:47 | 像一条狗孤独的活着，渴望的活着，绝望的活...)
@小川 小兄弟，你太年轻了你以为这个乌云前十名真的有那么多大牛吗？其他都是我一个人刷的，不然我换个马甲发同样的话给你看
-
2015-05-08 23:38 |
百变屌丝 ( 实习白帽子 | Rank:59 漏洞数:7 | 屌丝一个而且是百变的，临时工)
@小川 小兄弟，你太年轻了你以为这个乌云前十名真的有那么多大牛吗？其他都是我一个人刷的，不然我换个马甲发同样的话给你看
-
2015-05-09 09:26 |
an0nym0u5 ( 普通白帽子 | Rank:172 漏洞数:31 )
@小川 小兄弟，你太年轻了你以为这个乌云前十名真的有那么多大牛吗？其他都是我一个人刷的，不然我换个马甲发同样的话给你看
-
2015-05-23 22:47 |
nextdoor ( 普通白帽子 | Rank:325 漏洞数:74 )
@小川 小兄弟，你太年轻了你以为这个乌云前十名真的有那么多大牛吗？其他都是我一个人刷的，不然我换个马甲发同样的话给你看
-
2015-06-13 19:14 |
Q1NG ( 实习白帽子 | Rank:93 漏洞数:16 | 临 兵 斗 者 皆 阵 列 前 行 !)
@小川 小兄弟，你太年轻了你以为这个乌云前十名真的有那么多大牛吗？其他都是我一个人刷的，不然我换个马甲发同样的话给你看
-
2015-06-22 11:08 |
草榴社区 ( 普通白帽子 | Rank:109 漏洞数:26 | 未满18周岁,不准进入.)
-
2015-06-22 11:17 |
GrayTrack ( 实习白帽子 | Rank:75 漏洞数:14 | 灰色轨迹)
@小川 小兄弟，你太年轻了你以为这个乌云前十名真的有那么多大牛吗？其他都是我一个人刷的，不然我换个马甲发同样的话给你看
-
2015-06-22 11:52 |
whitehat ( 路人 | Rank:2 漏洞数:1 | 用心，認真，努力，負責任...)
-
2015-06-22 12:17 |
range ( 普通白帽子 | Rank:153 漏洞数:32 | 这个人有点懒，没有写个人简介)
-
2015-06-22 12:54 |
Me_Fortune ( 普通白帽子 | Rank:209 漏洞数:71 | I'm Me_Fortune)
-
2015-06-22 13:24 |
range ( 普通白帽子 | Rank:153 漏洞数:32 | 这个人有点懒，没有写个人简介)
-
2015-06-23 12:39 |
昌维 ( 路人 | Rank:2 漏洞数:3 | QQ：867597730，百度贴吧ID：昌维001)
-
2015-06-24 16:47 |
小卖部部长 ( 路人 | Rank:24 漏洞数:3 | 别拿部长不当干部！)
