当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0119573

漏洞标题:千军万马主站接口设计不当,可批量撞库

相关厂商:qjwm.com

漏洞作者: 黑翼、

提交时间:2015-06-10 16:20

修复时间:2015-06-15 16:22

公开时间:2015-06-15 16:22

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:10

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-06-10: 细节已通知厂商并且等待厂商处理中
2015-06-15: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

撞库扫号攻击已经是Top 10 Security Risks for 2014之一.撞库以大量的用户数据为基础,利用用户相同的注册习惯(相同的用户名和密码),尝试登陆其它的网站。2011年,互联网泄密事件引爆了整个信息安全界,导致传统的用户+密码认证的方式已无法满足现有安全需求。泄露数据包括:天涯:31,758,468条,CSDN:6,428,559条,微博:4,442,915条,人人网:4,445,047条,猫扑:2,644,726条,178:9,072,819条,嘟嘟牛:13,891,418条,7K7K:18,282,404条,共1.2亿条。不管你的网站密码保护的多好,但是面对已经泄露的账号密码,撞库扫号防御还是一个相当重要的环节。

详细说明:

0x01: 用户注册后会有一个二级域名 XXX(用户名)+.7958.com.cn 这里我抓包然后随便生成个字典拿XXX做变量去爆破,大概扫了1500个存在的用户名,然后把存在的用户名保存为文本.

搜狗截图15年06月10日1500_4.png


0x02:由于主站登录接口没有验证.这里我就批量测试弱密码123456789登录.

搜狗截图15年06月10日1525_7.png


配置用户名为变量 密码为123456789

1.png


导入刚才的用户名进行爆破

2.png


接口.png


刚才我只测试了一点儿用户就成功的几十个用户 如果根据之前的sql注入被黑客脱的裤来撞裤或者各种泄露的裤子来撞得话 危害挺大的

成功的.png


为了用户安全打马赛克下 为了真实登陆下

测试.png


漏洞证明:

过程上面讲的很清楚了(*^__^*)
千军万马网盘貌似是一个网赚的网盘,我看了一下厂商之前的sql注入都忽略了.如果那个时候用户数据就已经泄漏.再结合这个来撞裤的话,批量登录洗钱 那后果 呵呵!!,希望厂商重视一下用户的安全! 忽略偷偷修补的话随你-_- 乌云审核大大给个邀请码啊 谢谢~~

修复方案:

你们更专业!

版权声明:转载请注明来源 黑翼、@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-06-15 16:22

厂商回复:

漏洞Rank:4 (WooYun评价)

最新状态:

暂无


漏洞评价:

评论

  1. 2015-06-15 17:32 | 黑翼、 ( 路人 | Rank:26 漏洞数:10 | o(∩_∩)o)

    = =厂商好任性