当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0153195

漏洞标题:YOHO!有货某后台弱口令(终结版)

相关厂商:YOHO!有货

漏洞作者: Hancock

提交时间:2015-11-10 10:39

修复时间:2015-12-25 15:36

公开时间:2015-12-25 15:36

漏洞类型:后台弱口令

危害等级:高

自评Rank:18

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-11-10: 细节已通知厂商并且等待厂商处理中
2015-11-10: 厂商已经确认,细节仅向厂商公开
2015-11-20: 细节向核心白帽子及相关领域专家公开
2015-11-30: 细节向普通白帽子公开
2015-12-10: 细节向实习白帽子公开
2015-12-25: 细节向公众公开

简要描述:

YOHO!有货某后台弱口令(终结版)

详细说明:

这个后台已经被爆了两次菊花了 这次是第三次了 事不过三啊...

http://show.test.yoho.cn/admin/default/yoho


 WooYun: 有货网某后台弱口令且验证码不过期 
WooYun: YOHO!有货某后台弱口令(可重置所有用户密码屏蔽用户,向所有APP用户推送任意消息等等)


登录处验证码不过期
先用常用的用户名和top1000+确认帐号是否存在

0.gif


确认了10个用户名 用简单的top100和%username%进行fuzzing

1.gif


2.gif


10个就有7个弱口令...醉了.:P
进入后台再导出所有帐号再爆破一次

火狐截图_2015-11-09T16-02-44.027Z.png


这是结果:

39/65
test3 123456
admin1 123456
admin2 1qaz2wsx
test2 123321
zhaochen 12345
zhangyiyan zhangyiyan
wangpeng wangpeng
wangdongwan wangdongwan
yohobuy yohobuy
luyan luyan
taozhang taozhang
machuruo machuruo
liangchuruo liangchuruo
wangyuan wangyuan
luoxinbo luoxinbo
zhuwenbin zhuwenbin
jialufang jialufang
zhouding zhouding
dingyuexiang dingyuexiang
houhaining houhaining
product1 123456
product2 123456
product3 123456
product4 123456
tech1 123456
tech6 123456
tech4 123456
tech7 123456
xiaofei 123456
tech5 123456
111 123456
tianyun 111111
damao 123123
chenzhong 123321
zhangli zhangli
夜间值班 123456
李若谷 123456
初审test 123456
复审test 123456


过半的弱口令

漏洞证明:

可以做什么↓

4.gif


5.gif


6.gif


登录接口疑似宽字节注入
跑注入就被禁ip了 所以没有证实

7.gif

修复方案:

没用的删了吧 其他的改密码 还有就是验证码要销毁回话重置

版权声明:转载请注明来源 Hancock@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:5

确认时间:2015-11-10 15:34

厂商回复:

谢谢,关注,这个是我们尽快修复

最新状态:

暂无


漏洞评价:

评价