当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0153195

漏洞标题：YOHO!有货某后台弱口令（终结版）

相关厂商：YOHO!有货

漏洞作者： Hancock

提交时间：2015-11-10 10:39

修复时间：2015-12-25 15:36

公开时间：2015-12-25 15:36

漏洞类型：后台弱口令

危害等级：高

自评Rank：18

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-11-10： 细节已通知厂商并且等待厂商处理中
2015-11-10： 厂商已经确认，细节仅向厂商公开
2015-11-20： 细节向核心白帽子及相关领域专家公开
2015-11-30： 细节向普通白帽子公开
2015-12-10： 细节向实习白帽子公开
2015-12-25： 细节向公众公开

简要描述：

YOHO!有货某后台弱口令（终结版）

详细说明：

这个后台已经被爆了两次菊花了 这次是第三次了 事不过三啊...

http://show.test.yoho.cn/admin/default/yoho


 WooYun: 有货网某后台弱口令且验证码不过期 
 WooYun: YOHO!有货某后台弱口令（可重置所有用户密码屏蔽用户，向所有APP用户推送任意消息等等）


登录处验证码不过期
先用常用的用户名和top1000+确认帐号是否存在

0.gif


确认了10个用户名 用简单的top100和%username%进行fuzzing

1.gif


2.gif


10个就有7个弱口令...醉了.:P
进入后台再导出所有帐号再爆破一次

火狐截图_2015-11-09T16-02-44.027Z.png


这是结果：

39/65
test3		123456
admin1		123456
admin2		1qaz2wsx
test2		123321
zhaochen	12345
zhangyiyan	zhangyiyan
wangpeng	wangpeng
wangdongwan	wangdongwan
yohobuy		yohobuy
luyan		luyan
taozhang	taozhang
machuruo	machuruo
liangchuruo	liangchuruo
wangyuan	wangyuan
luoxinbo	luoxinbo
zhuwenbin	zhuwenbin
jialufang	jialufang
zhouding	zhouding
dingyuexiang	dingyuexiang
houhaining	houhaining
product1	123456
product2	123456
product3	123456
product4	123456
tech1		123456
tech6		123456
tech4		123456
tech7		123456
xiaofei		123456
tech5		123456
111			123456
tianyun		111111
damao		123123
chenzhong	123321
zhangli		zhangli
夜间值班	123456
李若谷		123456
初审test	123456
复审test	123456


过半的弱口令

漏洞证明：

可以做什么↓

4.gif


5.gif


6.gif


登录接口疑似宽字节注入
跑注入就被禁ip了 所以没有证实

7.gif

修复方案：

没用的删了吧 其他的改密码 还有就是验证码要销毁回话重置

版权声明：转载请注明来源 Hancock@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2015-11-10 15:34

厂商回复：

谢谢，关注，这个是我们尽快修复

最新状态：

暂无

漏洞评价：

评价