当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0121108

漏洞标题:土巴兔装修网某接口可探测大量用户用户数据

相关厂商:土巴兔装修网

漏洞作者: 路人甲

提交时间:2015-06-17 12:48

修复时间:2015-08-01 14:08

公开时间:2015-08-01 14:08

漏洞类型:账户体系控制不严

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-06-17: 细节已通知厂商并且等待厂商处理中
2015-06-17: 厂商已经确认,细节仅向厂商公开
2015-06-27: 细节向核心白帽子及相关领域专家公开
2015-07-07: 细节向普通白帽子公开
2015-07-17: 细节向实习白帽子公开
2015-08-01: 细节向公众公开

简要描述:

土巴兔装修网某接口可探测大量用户用户数据

详细说明:

www.to8to.com

主站看见一个旗下的网站
地址

http://www.shejiben.com/account/login.php


该登陆接口控制不严,无次数限制,并且无验证码,可以批量爆破用户密码。
看下这个登陆地方。

lo.png


可以用用户名登陆,那就好办了。现在去找一些可以获取用户名的地方就行了。
通过测试,这个三个地方都可以获取用户名

http://www.shejiben.com/yz/3410927/
http://www.shejiben.com/sjs/998338/
http://www.shejiben.com/my/message.php?act=send&uid=1234567


用户量大概是400百万左右。
利用http://www.shejiben.com/my/message.php?act=send&uid=1234567
这个接口获取了大概几百个用户名信息。

aaa.png


user12.png


然后在登陆处使用,观察登陆接口,使用用户名和md5加密的密码来登陆。
这里仅仅用123456作为密码来测试。这个密码是够弱的
直接用脚本来爆破

succ.png


succ2.png


发包频繁就会超时,脚本做了一下处理。
拿着成功这几个登陆下。直接登陆主站。主站和shejiben.com用户数据库是一起的。
主站和设计本这两个站都是可以登陆的。

s1.png


s2.png


s3.png


s4.png


测试只用了123456来做密码。并且只有几百个用户名。按照这个成功率,换个大点的密码字典,400万的用户。成功率也是很大的,包括设计师和用户。

漏洞证明:

s1.png


s2.png


s3.png


s4.png

修复方案:

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:8

确认时间:2015-06-17 14:06

厂商回复:

感谢

最新状态:

暂无


漏洞评价:

评论