漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2015-0121108
漏洞标题:土巴兔装修网某接口可探测大量用户用户数据
相关厂商:土巴兔装修网
漏洞作者: 路人甲
提交时间:2015-06-17 12:48
修复时间:2015-08-01 14:08
公开时间:2015-08-01 14:08
漏洞类型:账户体系控制不严
危害等级:高
自评Rank:15
漏洞状态:厂商已经确认
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2015-06-17: 细节已通知厂商并且等待厂商处理中
2015-06-17: 厂商已经确认,细节仅向厂商公开
2015-06-27: 细节向核心白帽子及相关领域专家公开
2015-07-07: 细节向普通白帽子公开
2015-07-17: 细节向实习白帽子公开
2015-08-01: 细节向公众公开
简要描述:
土巴兔装修网某接口可探测大量用户用户数据
详细说明:
在
主站看见一个旗下的网站
地址
该登陆接口控制不严,无次数限制,并且无验证码,可以批量爆破用户密码。
看下这个登陆地方。
可以用用户名登陆,那就好办了。现在去找一些可以获取用户名的地方就行了。
通过测试,这个三个地方都可以获取用户名
用户量大概是400百万左右。
利用http://www.shejiben.com/my/message.php?act=send&uid=1234567
这个接口获取了大概几百个用户名信息。
然后在登陆处使用,观察登陆接口,使用用户名和md5加密的密码来登陆。
这里仅仅用123456作为密码来测试。这个密码是够弱的
直接用脚本来爆破
发包频繁就会超时,脚本做了一下处理。
拿着成功这几个登陆下。直接登陆主站。主站和shejiben.com用户数据库是一起的。
主站和设计本这两个站都是可以登陆的。
测试只用了123456来做密码。并且只有几百个用户名。按照这个成功率,换个大点的密码字典,400万的用户。成功率也是很大的,包括设计师和用户。
漏洞证明:
修复方案:
版权声明:转载请注明来源 路人甲@乌云
漏洞回应
厂商回应:
危害等级:中
漏洞Rank:8
确认时间:2015-06-17 14:06
厂商回复:
感谢
最新状态:
暂无