漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0119573
漏洞标题：千军万马主站接口设计不当,可批量撞库
相关厂商：qjwm.com
漏洞作者： 黑翼、
提交时间：2015-06-10 16:20
修复时间：2015-06-15 16:22
公开时间：2015-06-15 16:22
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-10： 细节已通知厂商并且等待厂商处理中
2015-06-15： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
撞库扫号攻击已经是Top 10 Security Risks for 2014之一.撞库以大量的用户数据为基础，利用用户相同的注册习惯（相同的用户名和密码），尝试登陆其它的网站。2011年，互联网泄密事件引爆了整个信息安全界，导致传统的用户+密码认证的方式已无法满足现有安全需求。泄露数据包括：天涯：31,758,468条，CSDN：6,428,559条，微博：4,442,915条，人人网：4,445,047条，猫扑：2,644,726条，178：9,072,819条，嘟嘟牛：13,891,418条，7K7K：18,282,404条，共1.2亿条。不管你的网站密码保护的多好，但是面对已经泄露的账号密码，撞库扫号防御还是一个相当重要的环节。
详细说明：
0x01: 用户注册后会有一个二级域名 XXX（用户名）+.7958.com.cn 这里我抓包然后随便生成个字典拿XXX做变量去爆破,大概扫了1500个存在的用户名,然后把存在的用户名保存为文本.
0x02：由于主站登录接口没有验证.这里我就批量测试弱密码123456789登录.
配置用户名为变量 密码为123456789
导入刚才的用户名进行爆破
刚才我只测试了一点儿用户就成功的几十个用户 如果根据之前的sql注入被黑客脱的裤来撞裤或者各种泄露的裤子来撞得话 危害挺大的
为了用户安全打马赛克下 为了真实登陆下
漏洞证明：
过程上面讲的很清楚了(*^__^*)
千军万马网盘貌似是一个网赚的网盘,我看了一下厂商之前的sql注入都忽略了.如果那个时候用户数据就已经泄漏.再结合这个来撞裤的话,批量登录洗钱 那后果 呵呵！！,希望厂商重视一下用户的安全！ 忽略偷偷修补的话随你-_- 乌云审核大大给个邀请码啊 谢谢~~
修复方案：
你们更专业！
版权声明：转载请注明来源 黑翼、@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-06-15 16:22
厂商回复：
漏洞Rank：4 (WooYun评价)
最新状态：
暂无