当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0144439

漏洞标题：搜狐某后台登录设计缺陷可撞库

相关厂商：搜狐

漏洞作者： DBA

提交时间：2015-10-01 23:00

修复时间：2015-11-16 23:00

公开时间：2015-11-16 23:00

漏洞类型：设计缺陷/逻辑错误

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-01： 细节已通知厂商并且等待厂商处理中
2015-10-02： 厂商已经确认，细节仅向厂商公开
2015-10-12： 细节向核心白帽子及相关领域专家公开
2015-10-22： 细节向普通白帽子公开
2015-11-01： 细节向实习白帽子公开
2015-11-16： 细节向公众公开

简要描述：

缺rank,搜狐焦点某后台

详细说明：

某后台登录，实际上搜狐焦点的邮箱都可以登录，另外没有验证码以及同IP次数限制，所以可以用来撞库，这里撞的是所有focus.cn邮箱。地址如下

http://focus-login.sohusce.com/auth?index=1


houtai.jpg


撞密码为123456的用户。效果如下

zhuangku1.jpg


zhuangku2.jpg


如下用户均可以用密码123456在搜狐焦点首页登录。

super@focus.cn
ceshi12@focus.cn
admin123@focus.cn
ADAMS@focus.cn
APPS@focus.cn
An@focus.cn
An@focus.cn
CC@focus.cn
CCC@focus.cn
CDE@focus.cn
CDE@focus.cn
CDE@focus.cn
CDE@focus.cn
DA@focus.cn
DDI@focus.cn
DS@focus.cn
DS@focus.cn
ER@focus.cn
ID@focus.cn
ID@focus.cn
IN@focus.cn
IN@focus.cn
MT@focus.cn
UE@focus.cn
ID@focus.cn
VT@focus.cn
VT@focus.cn
WAN@focus.cn
aba@focus.cn
aba@focus.cn
aime@focus.cn
aime@focus.cn
alaster@focus.cn
alethea@focus.cn
alike@focus.cn
alisande@focus.cn
alme@focus.cn
alme@focus.cn
alme@focus.cn
alphonse@focus.cn
amel@focus.cn
amel@focus.cn
amel@focus.cn
amel@focus.cn
amel@focus.cn
anall@focus.cn
anall@focus.cn
ane@focus.cn
ane@focus.cn
ane@focus.cn
ane@focus.cn
ane@focus.cn
angy@focus.cn
appo@focus.cn
aro@focus.cn
artair@focus.cn
avie@focus.cn
barrie@focus.cn
bastian@focus.cn
bax@focus.cn
bax@focus.cn
bax@focus.cn
bax@focus.cn
bell@focus.cn
bell@focus.cn
bell@focus.cn
bell@focus.cn
bell@focus.cn
benjame@focus.cn
benji@focus.cn
benji@focus.cn

漏洞证明：

如上

修复方案：

验证码等

版权声明：转载请注明来源 DBA@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-10-02 22:58

厂商回复：

感谢支持。

最新状态：

暂无

漏洞评价：

评论