漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0116206
漏洞标题：旅游业安全之驴妈妈某重要系统至少320个账户存在泄露风险(涉及大量企业内部敏感信息漫游不是问题)
相关厂商：驴妈妈旅游网
漏洞作者： 管管侠
提交时间：2015-05-26 00:11
修复时间：2015-07-11 10:46
公开时间：2015-07-11 10:46
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-26： 细节已通知厂商并且等待厂商处理中
2015-05-27： 厂商已经确认，细节仅向厂商公开
2015-06-06： 细节向核心白帽子及相关领域专家公开
2015-06-16： 细节向普通白帽子公开
2015-06-26： 细节向实习白帽子公开
2015-07-11： 细节向公众公开
简要描述：
又是很晚，没深挖，碎觉觉了，厂商觉得敏感下面留言喊打码
每个类型争取挖5个
问答：猜猜下一个目标是谁
详细说明：
好，公司一千多人，三百多人邮箱弱口令，1/4的概率，也真真是醉得不省人事
下面是318个，仅测试了Joyu.com弱口令，其他也会有，哈哈
luyuan@lvmama.com-----Joyu.com
zhangfuhua@lvmama.com-----Joyu.com
zhangxueping@lvmama.com-----Joyu.com
wangyanjun@lvmama.com-----Joyu.com
xuchengmin@lvmama.com-----Joyu.com
xierui@lvmama.com-----Joyu.com
zhouqianru@lvmama.com-----Joyu.com
zhouhaoqin@lvmama.com-----Joyu.com
jvhong@lvmama.com-----Joyu.com
luying@lvmama.com-----Joyu.com
csbx@lvmama.com-----Joyu.com
wancheng@lvmama.com-----Joyu.com
songjiongying@lvmama.com-----Joyu.com
zhangxina@lvmama.com-----Joyu.com
wuting@lvmama.com-----Joyu.com
chenshiqin@lvmama.com-----Joyu.com
hrd@lvmama.com-----Joyu.com
lihaisu@lvmama.com-----Joyu.com
wangzhichen@lvmama.com-----Joyu.com
tangyingying@lvmama.com-----Joyu.com
yaoshuai@lvmama.com-----Joyu.com
liting@lvmama.com-----Joyu.com
taobaomaster@lvmama.com-----Joyu.com
zhangyunan@lvmama.com-----Joyu.com
wuxingyi@lvmama.com-----Joyu.com
tyzhangying@lvmama.com-----Joyu.com
guyan@lvmama.com-----Joyu.com
huangzhibin@lvmama.com-----Joyu.com
xulijia@lvmama.com-----Joyu.com
qiangqian@lvmama.com-----Joyu.com
gnwangwei@lvmama.com-----Joyu.com
oracle@lvmama.com-----Joyu.com
linchunyan@lvmama.com-----Joyu.com
sunan@lvmama.com-----Joyu.com
kfzhangjijun@lvmama.com-----Joyu.com
huojianrong@lvmama.com-----Joyu.com
yangxiaocui@lvmama.com-----Joyu.com
wuzuguang@lvmama.com-----Joyu.com
yinnan@lvmama.com-----Joyu.com
huanghaichao@lvmama.com-----Joyu.com
lidanliang@lvmama.com-----Joyu.com
lisuqin@lvmama.com-----Joyu.com
zhengxiaojing@lvmama.com-----Joyu.com
zhongyihua@lvmama.com-----Joyu.com
guoweiliang@lvmama.com-----Joyu.com
wangpeixia@lvmama.com-----Joyu.com
zengsiting@lvmama.com-----Joyu.com
kfchenhui@lvmama.com-----Joyu.com
wangxinmei@lvmama.com-----Joyu.com
kfluyan@lvmama.com-----Joyu.com
qiuyiting@lvmama.com-----Joyu.com
tianxilong@lvmama.com-----Joyu.com
zhenglijuan@lvmama.com-----Joyu.com
shouhong@lvmama.com-----Joyu.com
gaolei@lvmama.com-----Joyu.com
kcyanghong@lvmama.com-----Joyu.com
lihaoyang@lvmama.com-----Joyu.com
xukaiyong@lvmama.com-----Joyu.com
ggb@lvmama.com-----Joyu.com
yangshudi@lvmama.com-----Joyu.com
guoyiru@lvmama.com-----Joyu.com
wuzeqiang@lvmama.com-----Joyu.com
shenyangyi@lvmama.com-----Joyu.com
liangjianqi@lvmama.com-----Joyu.com
liwei@lvmama.com-----Joyu.com
suyi@lvmama.com-----Joyu.com
lvfeiping@lvmama.com-----Joyu.com
kqivr@lvmama.com-----Joyu.com
wangliqin@lvmama.com-----Joyu.com
wangbinqin@lvmama.com-----Joyu.com
hgzhoujun@lvmama.com-----Joyu.com
yingyong@lvmama.com-----Joyu.com
qdchenjia@lvmama.com-----Joyu.com
wangboa@lvmama.com-----Joyu.com
yupuqing@lvmama.com-----Joyu.com
shaojing@lvmama.com-----Joyu.com
sunyu@lvmama.com-----Joyu.com
zhangchenjia@lvmama.com-----Joyu.com
ltwangwei@lvmama.com-----Joyu.com
zhuzhaoyun@lvmama.com-----Joyu.com
ytsunjun@lvmama.com-----Joyu.com
koubei@lvmama.com-----Joyu.com
chendanjun@lvmama.com-----Joyu.com
yuanxueguo@lvmama.com-----Joyu.com
chendeyu@lvmama.com-----Joyu.com
libailin@lvmama.com-----Joyu.com
sunjinqiang@lvmama.com-----Joyu.com
gaowufei@lvmama.com-----Joyu.com
yujinglei@lvmama.com-----Joyu.com
tangyuzhen@lvmama.com-----Joyu.com
zengli@lvmama.com-----Joyu.com
sunfeifei@lvmama.com-----Joyu.com
gzwangyongxiang@lvmama.com-----Joyu.com
houfeifei@lvmama.com-----Joyu.com
shanlin@lvmama.com-----Joyu.com
zhengpingping@lvmama.com-----Joyu.com
shujie@lvmama.com-----Joyu.com
zhuangwenting@lvmama.com-----Joyu.com
suotao@lvmama.com-----Joyu.com
yeting@lvmama.com-----Joyu.com
chenweiquan@lvmama.com-----Joyu.com
chenxiaoling@lvmama.com-----Joyu.com
zhouyaxiong@lvmama.com-----Joyu.com
zoupengpeng@lvmama.com-----Joyu.com
peihaojun@lvmama.com-----Joyu.com
zhaohuijun@lvmama.com-----Joyu.com
fanyajing@lvmama.com-----Joyu.com
xingzhijie@lvmama.com-----Joyu.com
zhouxinyuan@lvmama.com-----Joyu.com
konghuihui@lvmama.com-----Joyu.com
wangruihan@lvmama.com-----Joyu.com
liuweihong@lvmama.com-----Joyu.com
liwen@lvmama.com-----Joyu.com
xieyinyin@lvmama.com-----Joyu.com
qdzhangli@lvmama.com-----Joyu.com
zhujingming@lvmama.com-----Joyu.com
wujian@lvmama.com-----Joyu.com
zhangshiyu@lvmama.com-----Joyu.com
sczhanglili@lvmama.com-----Joyu.com
liangyunyun@lvmama.com-----Joyu.com
biservice@lvmama.com-----Joyu.com
heguobin@lvmama.com-----Joyu.com
liujianzhi@lvmama.com-----Joyu.com
majing@lvmama.com-----Joyu.com
guojinghua@lvmama.com-----Joyu.com
activemq@lvmama.com-----Joyu.com
yangke@lvmama.com-----Joyu.com
yaolixia@lvmama.com-----Joyu.com
shenrujia@lvmama.com-----Joyu.com
wxopen@lvmama.com-----Joyu.com
qiupengfei@lvmama.com-----Joyu.com
limin@lvmama.com-----Joyu.com
dujingjing@lvmama.com-----Joyu.com
kfliufeng@lvmama.com-----Joyu.com
shiwei@lvmama.com-----Joyu.com
qinhaowei@lvmama.com-----Joyu.com
zhangjiea@lvmama.com-----Joyu.com
lilianjin@lvmama.com-----Joyu.com
yaojiping@lvmama.com-----Joyu.com
wangshiming@lvmama.com-----Joyu.com
xujiajun@lvmama.com-----Joyu.com
zhangtianyuan@lvmama.com-----Joyu.com
dinghaijun@lvmama.com-----Joyu.com
zhushenglei@lvmama.com-----Joyu.com
ganjinjie@lvmama.com-----Joyu.com
xiazhensu@lvmama.com-----Joyu.com
miaojiawei@lvmama.com-----Joyu.com
baochenhui@lvmama.com-----Joyu.com
mayan@lvmama.com-----Joyu.com
hemincheng@lvmama.com-----Joyu.com
xuweihong@lvmama.com-----Joyu.com
xiaojiemei@lvmama.com-----Joyu.com
yanglijia@lvmama.com-----Joyu.com
zhangyingb@lvmama.com-----Joyu.com
zhujingyi@lvmama.com-----Joyu.com
huangyaohua@lvmama.com-----Joyu.com
chaiqin@lvmama.com-----Joyu.com
hujiyuan@lvmama.com-----Joyu.com
pengyucui@lvmama.com-----Joyu.com
dingmenglian@lvmama.com-----Joyu.com
liuwenjing@lvmama.com-----Joyu.com
yubeilei@lvmama.com-----Joyu.com
ytchenfang@lvmama.com-----Joyu.com
ytrenyan@lvmama.com-----Joyu.com
guwenfan@lvmama.com-----Joyu.com
yuanweikang@lvmama.com-----Joyu.com
yinying@lvmama.com-----Joyu.com
autotesting@lvmama.com-----Joyu.com
lujianwei@lvmama.com-----Joyu.com
xieliyu@lvmama.com-----Joyu.com
huchangfu@lvmama.com-----Joyu.com
kfht@lvmama.com-----Joyu.com
kangqianying@lvmama.com-----Joyu.com
xuyiwen@lvmama.com-----Joyu.com
huangxianhai@lvmama.com-----Joyu.com
wuliyan@lvmama.com-----Joyu.com
nixiaolin@lvmama.com-----Joyu.com
luyunwen@lvmama.com-----Joyu.com
shimeilan@lvmama.com-----Joyu.com
ltyangyang@lvmama.com-----Joyu.com
houxiayan@lvmama.com-----Joyu.com
maochunfeng@lvmama.com-----Joyu.com
xiangyanyao@lvmama.com-----Joyu.com
zhengyiqing@lvmama.com-----Joyu.com
cdchengliang@lvmama.com-----Joyu.com
liuhaiping@lvmama.com-----Joyu.com
xuzhongming@lvmama.com-----Joyu.com
zhangtinghua@lvmama.com-----Joyu.com
developer@lvmama.com-----Joyu.com
weianhong@lvmama.com-----Joyu.com
wuhuiling@lvmama.com-----Joyu.com
yifan@lvmama.com-----Joyu.com
gehuiting@lvmama.com-----Joyu.com
gaoyafeng@lvmama.com-----Joyu.com
gaoweidong@lvmama.com-----Joyu.com
songfengjuan@lvmama.com-----Joyu.com
sunruyue@lvmama.com-----Joyu.com
gaitianhao@lvmama.com-----Joyu.com
qianlisheng@lvmama.com-----Joyu.com
zhuhaijie@lvmama.com-----Joyu.com
malei@lvmama.com-----Joyu.com
chenchenga@lvmama.com-----Joyu.com
zhouchanjuan@lvmama.com-----Joyu.com
yangbing@lvmama.com-----Joyu.com
caibini@lvmama.com-----Joyu.com
lejianjun@lvmama.com-----Joyu.com
zhujiashi@lvmama.com-----Joyu.com
qiancheng@lvmama.com-----Joyu.com
hdchenfang@lvmama.com-----Joyu.com
congjingyi@lvmama.com-----Joyu.com
xiachun@lvmama.com-----Joyu.com
genglanlan@lvmama.com-----Joyu.com
ohc@lvmama.com-----Joyu.com
shenqi@lvmama.com-----Joyu.com
xiaxin@lvmama.com-----Joyu.com
wangjuana@lvmama.com-----Joyu.com
cjzhanglijing@lvmama.com-----Joyu.com
bjhr@lvmama.com-----Joyu.com
wuwenqi@lvmama.com-----Joyu.com
shenxiaogang@lvmama.com-----Joyu.com
finance@lvmama.com-----Joyu.com
jszhouli@lvmama.com-----Joyu.com
taosiyu@lvmama.com-----Joyu.com
liuxiaoshun@lvmama.com-----Joyu.com
hannannan@lvmama.com-----Joyu.com
yangjiawen@lvmama.com-----Joyu.com
yanganyun@lvmama.com-----Joyu.com
qulina@lvmama.com-----Joyu.com
xiongyan@lvmama.com-----Joyu.com
suntengfei@lvmama.com-----Joyu.com
dingyi@lvmama.com-----Joyu.com
bbs_admin@lvmama.com-----Joyu.com
wuyu@lvmama.com-----Joyu.com
maoxiaojuan@lvmama.com-----Joyu.com
liujiahui@lvmama.com-----Joyu.com
zijiayou@lvmama.com-----Joyu.com
liudong@lvmama.com-----Joyu.com
qianmin@lvmama.com-----Joyu.com
dufuliang@lvmama.com-----Joyu.com
wangchun@lvmama.com-----Joyu.com
xuling@lvmama.com-----Joyu.com
liuxuan@lvmama.com-----Joyu.com
fangmin@lvmama.com-----Joyu.com
lvmamasearch@lvmama.com-----Joyu.com
zhouyuji@lvmama.com-----Joyu.com
lixiu@lvmama.com-----Joyu.com
shijinga@lvmama.com-----Joyu.com
liqian@lvmama.com-----Joyu.com
tianqingyang@lvmama.com-----Joyu.com
yaowenbin@lvmama.com-----Joyu.com
kfzhouping@lvmama.com-----Joyu.com
yaoyancheng@lvmama.com-----Joyu.com
zhongshuangxi@lvmama.com-----Joyu.com
yuxiujuan@lvmama.com-----Joyu.com
liuliyan@lvmama.com-----Joyu.com
tangjiasi@lvmama.com-----Joyu.com
qiugujin@lvmama.com-----Joyu.com
kfzhangjie@lvmama.com-----Joyu.com
zaichunkun@lvmama.com-----Joyu.com
gongshiwei@lvmama.com-----Joyu.com
xiangyubi@lvmama.com-----Joyu.com
hupeipei@lvmama.com-----Joyu.com
ytxubin@lvmama.com-----Joyu.com
zhaoshengtao@lvmama.com-----Joyu.com
zhuhuib@lvmama.com-----Joyu.com
jiangyuanfeng@lvmama.com-----Joyu.com
kfwangwei@lvmama.com-----Joyu.com
wangjianqi@lvmama.com-----Joyu.com
bestteam@lvmama.com-----Joyu.com
tonghonglin@lvmama.com-----Joyu.com
ltwanglei@lvmama.com-----Joyu.com
xuying@lvmama.com-----Joyu.com
zhuqiwei@lvmama.com-----Joyu.com
luoweiyi@lvmama.com-----Joyu.com
dingyadong@lvmama.com-----Joyu.com
zhangaiping@lvmama.com-----Joyu.com
chengxuejun@lvmama.com-----Joyu.com
channelbd@lvmama.com-----Joyu.com
dutingting@lvmama.com-----Joyu.com
lvmonitor@lvmama.com-----Joyu.com
qdzhangjun@lvmama.com-----Joyu.com
shanxiaojun@lvmama.com-----Joyu.com
xiaoyongying@lvmama.com-----Joyu.com
hzwanghui@lvmama.com-----Joyu.com
fanziwei@lvmama.com-----Joyu.com
tbwangdan@lvmama.com-----Joyu.com
yuehongbin@lvmama.com-----Joyu.com
yuzongyi@lvmama.com-----Joyu.com
ludengying@lvmama.com-----Joyu.com
hedonglei@lvmama.com-----Joyu.com
caihuali@lvmama.com-----Joyu.com
ad@lvmama.com-----Joyu.com
yangyifei@lvmama.com-----Joyu.com
panyinga@lvmama.com-----Joyu.com
xuyuan@lvmama.com-----Joyu.com
liuyuanting@lvmama.com-----Joyu.com
jiasongsong@lvmama.com-----Joyu.com
fanlingzhu@lvmama.com-----Joyu.com
huanglia@lvmama.com-----Joyu.com
ruanmeng@lvmama.com-----Joyu.com
shenjingyi@lvmama.com-----Joyu.com
jianglulu@lvmama.com-----Joyu.com
huwancheng@lvmama.com-----Joyu.com
xianghanying@lvmama.com-----Joyu.com
zhanglinlin@lvmama.com-----Joyu.com
matianyu@lvmama.com-----Joyu.com
gaominjun@lvmama.com-----Joyu.com
dis001@lvmama.com-----Joyu.com
jira@lvmama.com-----Joyu.com
zengman@lvmama.com-----Joyu.com
zhuguojue@lvmama.com-----Joyu.com
shenfan@lvmama.com-----Joyu.com
zhoujingjing@lvmama.com-----Joyu.com
qdlihui@lvmama.com-----Joyu.com
liyi@lvmama.com-----Joyu.com
chenyanan@lvmama.com-----Joyu.com
huangsuliang@lvmama.com-----Joyu.com
yuhaicun@lvmama.com-----Joyu.com
这里面我一个一个登陆都得累吐血，简单看看得了
涉及各种内部敏感信息，各种系统、账户、密码、运营数据等等，就不展示了
又是个很晚的夜晚
漏洞证明：
这么多账号，还有更多内部系统、管理统计系统、oa什么的，就不弄了
点到为止，如果被竞争对手长期潜伏apt攻击，损失可是隐性的，危害就大了
内网漫游问题不大，拉倒吧，你们没有“真旅网”那么大的需求
困的不行了，睡觉了
修复方案：
不给20对不起我这么晚提醒你们吖！！礼物不礼物的无所谓！
猜猜下一个目标是谁！！
版权声明：转载请注明来源 管管侠@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2015-05-27 10:45
厂商回复：
已确认，我们会立即更正。
最新状态：
暂无