当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0113687

漏洞标题:天极网主站登陆接口可撞库用户(泄露用户敏感信息)

相关厂商:天极传媒集团

漏洞作者: 路人甲

提交时间:2015-05-12 18:27

修复时间:2015-06-27 08:50

公开时间:2015-06-27 08:50

漏洞类型:设计缺陷/逻辑错误

危害等级:低

自评Rank:5

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-05-12: 细节已通知厂商并且等待厂商处理中
2015-05-13: 厂商已经确认,细节仅向厂商公开
2015-05-23: 细节向核心白帽子及相关领域专家公开
2015-06-02: 细节向普通白帽子公开
2015-06-12: 细节向实习白帽子公开
2015-06-27: 细节向公众公开

简要描述:

天极网主站登陆接口可撞库用户(泄露用户敏感信息)

详细说明:

http://passport.yesky.com/jsp/newyesky/yeskysys_pass.jsp这个接口,登陆的地方没有任何限制

1.png


然后抓包发现用户名和密码都是明文传输的

2.png


然后撞库了很多用户:
xtiqg 440921007 3041
iayb jianhu 3045
epie 1qaz2wsx 3045
y2kk liang1813 3045
www. 123456 3045
3215 123456 3045
yang 123456789 3045
lcwen wen123 3053
ukiss 931930 3053
szxhd 111111 3053
zhou 123456 3057
sq1sz 19880213 3061
qwewe 123456 3061
swwol 2080255 3061
csdfg 123456 3061
thtle 26117824 3061
cheye 461520 3061
asdasd 123123 3061
by688 6886968 3061
fyswt 1989320 3061
lindxxxx 966646 3069
123457 123457 3069
scwjl 123456 3069
10605814 323232 3069
87987595 87987595 3069
sibiao sibiao 3069
799572 liuchong 3081
windii 1988109 3081
kolewz 325609 3081
x86516 shijia 3081
suolao 44444444 3081
leomon 5256275 3081
zllajj zllajj 3081
760058 830402 3081
lhplee lhp875484 3081
602809 hxl7788 3081
litianbo 5917487 3081
459576868 134679852 3081
86968151 86968151 3081
lxwyqs 90961026 3081
564564 123456 3081
iamgds 20039123g 3081
kathin lingkat 3089
ttlxxj 19830918 3089
yf83528 yf19830708 3089
frydog 181123 3089
dayday2008 1958022877 3089
1988129 1988129 3093
81449434 15938886684 3097
ljh0618 123456 3101
8670119 12301230 3101
8106196 123456 3101
rulai88 88667733 3101
aoutrun 13613252313 3101
2905620 2905620 3101
dhqq123 786786 3101
wucf101 6227008 3101
azhe701 123456 3101
8532226 8532226 3101
4157872 3474322 3101
av-zsb 342625 3101
3199157 569588 3101
fsy3328 ying888 3101
zhao903 253323856 3101
dpc3952 123456789 3109
465121415 3344521 3109
447871423 123456 3109
wszdszg 7412369 3109
7490239 4400446 3109
wszdszg 7412369 3109
peiroger 826527 3117
28582379 35209117 3117
75909771 987614 3117
alexning alex1015alex 3117
84092900 111111 3117
29863531 120286534 3117
85586231 3881600 3117
a3560262 3560262 3117
19880903 19880903 3117
z4311829 307796 3117
70090241 7853306 3117
70803311 111111 3117
45270511 45270511 3117
babnwang 788578812 3117
95621090 5861872 3117
89028323 89028323 3117
songntex panasonic 3117
78713645 124182913 3117
honor521 honorren521 3117
52664964 1133132 3117
xzseasky zswlan 3117
87024604 800272 3117
54027855 58033507 3117
39061971 19860214 3117
39918021 7758521 3117
gottatan 870519 3117
windosw4 3536762 3117
47991008 laopo1116 3117
53014850 111111 3117
songntex panasonic 3117
54564 123456 3125
59659382 632826 3125
wuzhonghe forever 3125
dive2002 898788 3129
724188291 724188291 3129
507260953 a6883656 3137
wanyukan 5201314 3137
463310752 463310752 3137
707097131 112233 3137
272009415 19821027 3137
381346191 334421 3137
546904898 8003069145 3137
122134179 159456753 3137
guyeyiyan 13526554955 3137
529268117 77186774lin 3137
378291322 wanwan 3137
331253324 331253324 3137
344543823 546123511 3137
175676750 3662870 3137
178643130 860218 3137
773902944 6671529 3137
120262242 120262242 3137
274713812 3465865 3137
252272290 871227 3137
262751907 881023 3137
674888582 773136761 3137
837577116 1234567 3137
470539398 900428 3137
414212077 13564239320 3137
123123123 123123 3137
317632388 2103100 3137
570167191 123456 3137
616442554 13804698606 3137
332849847 liuqiang520 3137
363752851 62990806 3137
312358520 349478121 3137
544267166 6282167 3137
234630125 880628 3137
731256881 19800319 3137
345456456 89885511 3137
337617023 56785863 3137
363277215 661722 3137
317948477 19881211223 3137
316156684 19791207 3137
pzhcjg001 pzhcjg520 3137
408815583 zhangliwen 3137
317642409 quanchumin 3137
776874151 1073352498 3137
250884292 200862132 3137
393472267 1987426428 3137
659990968 6236976 3137
120815903 16899199 3137
407626078 19891207 3137
121882074 121882074 3137
hongbugao hongbugao 3137
584767371 584767371 3137
745268297 19890110 3137
lixun1066 350204 3137
616394569 2252252123 3137
403335969 86746295 3137
651316013 651316013 3137
371234151 371234151 3137
405710363 16766912315 3137
543970310 543970310 3137
529432962 7965709 3137
845892624 6891463 3137
370456141 19890315 3137
553903402 553903402 3137
444506650 753210321 3137
782518176 13553327382 3137
zhushiyao zhushiyao 3137
260409052 1356789 3137
haiou3738 haiouhaiou 3137
350043661 56538323 3137
506192553 1984727 3137
389626449 huangqianmin 3137
302745633 302745633 3137
151613634 151613634 3137
170846411 170846411 3137
394818056 394818056 3137
562010415 3151139 3137
240057842 wusuowei 3137
115579641 woshibendan00 3137
120501154 5891501 3137
876995293 zc112233 3137
306678152 2058485 3137
906243703 906243703 3137
461148239 461148239 3137
420178791 870429 3137
365842409 365842409 3137
539928712 901214 3137
296338111 15042234 3137
125479086 459920541 3137
747893555 200823 3137
475195879 5490417 3137
371788778 564335 3137
718993427 4563471329 3137
286972880 7551771 3137
252310857 liangsimin 3137
249953775 249953775 3137
420380542 420380542 3137
362054737 3320110 3137
why681116 why681116 3137
332763623 feng90324 3137
denglizhan 198613 3141
331347560 xu198374 3145
236948214 913204817 3145
532068715 60732237 3145
364687388 271441 3145
514065003 422525214 3145
124507341 124507341 3145
691127657 427716 3145
381564370 52230003 3145
759597739 452077 3145
593569400 593569400 3145
418657549 19890715 3145
cqlianghao 800618 3149
lwqpoyou 831128 3153
zhangdada 881312 3153
57348349 64594021 3153
wangzepen 890513 3153
693429604 826904 3153
binlizengz 1984819 3157
napoleonhl napoleon121416 3157
heikecaoni heikecaoni 3157
823308095 8210615821 3165
yaosijiaysj ysjysj 3165
280602838 su00000119 3165
365077317 78103300 3165
feifei5512 7682129 3173
qiandanping 598777576 3173
chopin.lee 156688 3177
150684957 0821feng 3181
donghouzhong 12031100 3193
317271668 13424243543 3193
hyq0611 5213281 3193
3535739 2916724 3193
kk1431 10160214 3193
lin272975660 linxiongpin 3193
zbx421169059 741016 3193
haoyunfei2799 af3900118 3201
570332801 172039 3221
fujianjyx 619322 3221
12313 111111 3225
haohan8828 haohan520a 3229
cxbszsd 617815 3265
457012127 457012127 3277
385838661 385838 3277
343536661 2821729 3277
xianlisen 8639753 3293
297356776 198957 3293
wasdxusai wasd321 3345
lanseshuidi1984 0564335lq 3373
登陆以后发现对用户信息没有打码,有的用户信息填写了有的没填写,填写了的就直接可以查看到,危害还是很大的

4.png


5.png

漏洞证明:

撞库出来的用户名和密码:
xtiqg 440921007 3041
iayb jianhu 3045
epie 1qaz2wsx 3045
y2kk liang1813 3045
www. 123456 3045
3215 123456 3045
yang 123456789 3045
lcwen wen123 3053
ukiss 931930 3053
szxhd 111111 3053
zhou 123456 3057
sq1sz 19880213 3061
qwewe 123456 3061
swwol 2080255 3061
csdfg 123456 3061
thtle 26117824 3061
cheye 461520 3061
asdasd 123123 3061
by688 6886968 3061
fyswt 1989320 3061
lindxxxx 966646 3069
123457 123457 3069
scwjl 123456 3069
10605814 323232 3069
87987595 87987595 3069
sibiao sibiao 3069
799572 liuchong 3081
windii 1988109 3081
kolewz 325609 3081
x86516 shijia 3081
suolao 44444444 3081
leomon 5256275 3081
zllajj zllajj 3081
760058 830402 3081
lhplee lhp875484 3081
602809 hxl7788 3081
litianbo 5917487 3081
459576868 134679852 3081
86968151 86968151 3081
lxwyqs 90961026 3081
564564 123456 3081
iamgds 20039123g 3081
kathin lingkat 3089
ttlxxj 19830918 3089
yf83528 yf19830708 3089
frydog 181123 3089
dayday2008 1958022877 3089
1988129 1988129 3093
81449434 15938886684 3097
ljh0618 123456 3101
8670119 12301230 3101
8106196 123456 3101
rulai88 88667733 3101
aoutrun 13613252313 3101
2905620 2905620 3101
dhqq123 786786 3101
wucf101 6227008 3101
azhe701 123456 3101
8532226 8532226 3101
4157872 3474322 3101
av-zsb 342625 3101
3199157 569588 3101
fsy3328 ying888 3101
zhao903 253323856 3101
dpc3952 123456789 3109
465121415 3344521 3109
447871423 123456 3109
wszdszg 7412369 3109
7490239 4400446 3109
wszdszg 7412369 3109
peiroger 826527 3117
28582379 35209117 3117
75909771 987614 3117
alexning alex1015alex 3117
84092900 111111 3117
29863531 120286534 3117
85586231 3881600 3117
a3560262 3560262 3117
19880903 19880903 3117
z4311829 307796 3117
70090241 7853306 3117
70803311 111111 3117
45270511 45270511 3117
babnwang 788578812 3117
95621090 5861872 3117
89028323 89028323 3117
songntex panasonic 3117
78713645 124182913 3117
honor521 honorren521 3117
52664964 1133132 3117
xzseasky zswlan 3117
87024604 800272 3117
54027855 58033507 3117
39061971 19860214 3117
39918021 7758521 3117
gottatan 870519 3117
windosw4 3536762 3117
47991008 laopo1116 3117
53014850 111111 3117
songntex panasonic 3117
54564 123456 3125
59659382 632826 3125
wuzhonghe forever 3125
dive2002 898788 3129
724188291 724188291 3129
507260953 a6883656 3137
wanyukan 5201314 3137
463310752 463310752 3137
707097131 112233 3137
272009415 19821027 3137
381346191 334421 3137
546904898 8003069145 3137
122134179 159456753 3137
guyeyiyan 13526554955 3137
529268117 77186774lin 3137
378291322 wanwan 3137
331253324 331253324 3137
344543823 546123511 3137
175676750 3662870 3137
178643130 860218 3137
773902944 6671529 3137
120262242 120262242 3137
274713812 3465865 3137
252272290 871227 3137
262751907 881023 3137
674888582 773136761 3137
837577116 1234567 3137
470539398 900428 3137
414212077 13564239320 3137
123123123 123123 3137
317632388 2103100 3137
570167191 123456 3137
616442554 13804698606 3137
332849847 liuqiang520 3137
363752851 62990806 3137
312358520 349478121 3137
544267166 6282167 3137
234630125 880628 3137
731256881 19800319 3137
345456456 89885511 3137
337617023 56785863 3137
363277215 661722 3137
317948477 19881211223 3137
316156684 19791207 3137
pzhcjg001 pzhcjg520 3137
408815583 zhangliwen 3137
317642409 quanchumin 3137
776874151 1073352498 3137
250884292 200862132 3137
393472267 1987426428 3137
659990968 6236976 3137
120815903 16899199 3137
407626078 19891207 3137
121882074 121882074 3137
hongbugao hongbugao 3137
584767371 584767371 3137
745268297 19890110 3137
lixun1066 350204 3137
616394569 2252252123 3137
403335969 86746295 3137
651316013 651316013 3137
371234151 371234151 3137
405710363 16766912315 3137
543970310 543970310 3137
529432962 7965709 3137
845892624 6891463 3137
370456141 19890315 3137
553903402 553903402 3137
444506650 753210321 3137
782518176 13553327382 3137
zhushiyao zhushiyao 3137
260409052 1356789 3137
haiou3738 haiouhaiou 3137
350043661 56538323 3137
506192553 1984727 3137
389626449 huangqianmin 3137
302745633 302745633 3137
151613634 151613634 3137
170846411 170846411 3137
394818056 394818056 3137
562010415 3151139 3137
240057842 wusuowei 3137
115579641 woshibendan00 3137
120501154 5891501 3137
876995293 zc112233 3137
306678152 2058485 3137
906243703 906243703 3137
461148239 461148239 3137
420178791 870429 3137
365842409 365842409 3137
539928712 901214 3137
296338111 15042234 3137
125479086 459920541 3137
747893555 200823 3137
475195879 5490417 3137
371788778 564335 3137
718993427 4563471329 3137
286972880 7551771 3137
252310857 liangsimin 3137
249953775 249953775 3137
420380542 420380542 3137
362054737 3320110 3137
why681116 why681116 3137
332763623 feng90324 3137
denglizhan 198613 3141
331347560 xu198374 3145
236948214 913204817 3145
532068715 60732237 3145
364687388 271441 3145
514065003 422525214 3145
124507341 124507341 3145
691127657 427716 3145
381564370 52230003 3145
759597739 452077 3145
593569400 593569400 3145
418657549 19890715 3145
cqlianghao 800618 3149
lwqpoyou 831128 3153
zhangdada 881312 3153
57348349 64594021 3153
wangzepen 890513 3153
693429604 826904 3153
binlizengz 1984819 3157
napoleonhl napoleon121416 3157
heikecaoni heikecaoni 3157
823308095 8210615821 3165
yaosijiaysj ysjysj 3165
280602838 su00000119 3165
365077317 78103300 3165
feifei5512 7682129 3173
qiandanping 598777576 3173
chopin.lee 156688 3177
150684957 0821feng 3181
donghouzhong 12031100 3193
317271668 13424243543 3193
hyq0611 5213281 3193
3535739 2916724 3193
kk1431 10160214 3193
lin272975660 linxiongpin 3193
zbx421169059 741016 3193
haoyunfei2799 af3900118 3201
570332801 172039 3221
fujianjyx 619322 3221
12313 111111 3225
haohan8828 haohan520a 3229
cxbszsd 617815 3265
457012127 457012127 3277
385838661 385838 3277
343536661 2821729 3277
xianlisen 8639753 3293
297356776 198957 3293
wasdxusai wasd321 3345
lanseshuidi1984 0564335lq 3373

修复方案:

加验证码

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:1

确认时间:2015-05-13 08:48

厂商回复:

非常感谢您对我们公司安全工作的关注。

最新状态:

暂无


漏洞评价:

评论