漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0119920
漏洞标题：DHC某接口撞库泄露用户登录凭据(有批量账号证明)
相关厂商：上海蝶翠诗商业有限公司
漏洞作者： 小龙
提交时间：2015-06-12 11:03
修复时间：2015-07-27 11:04
公开时间：2015-07-27 11:04
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-12： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-07-27： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
撞库扫号攻击已经是Top 10 Security Risks for 2014之一.撞库以大量的用户数据为基础，利用用户相同的注册习惯（相同的用户名和密码），尝试登陆其它的网站。2011年，互联网泄密事件引爆了整个信息安全界，导致传统的用户+密码认证的方式已无法满足现有安全需求。泄露数据包括：天涯：31,758,468条，CSDN：6,428,559条，微博：4,442,915条，人人网：4,445,047条，猫扑：2,644,726条，178：9,072,819条，嘟嘟牛：13,891,418条，7K7K：18,282,404条，共1.2亿条。不管你的网站密码保护的多好，但是面对已经泄露的账号密码，撞库扫号防御还是一个相当重要的环节。
详细说明：
不需要解释了，自己去登陆吧
漏洞证明：
登陆地址：
修复方案：
1：添加个验证或者用https，或者在登陆的时候如果邮箱和密码正确的话，发送post请求的时候加一个独立的验证，并且那个验证只验证一个邮箱，如果邮箱变更就不给予验证
版权声明：转载请注明来源 小龙@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝