漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0159429
漏洞标题：百度某系统存在弱口令(管理员发现后改了密码)
相关厂商：百度
漏洞作者： 心云
提交时间：2015-12-08 18:31
修复时间：2016-01-21 18:22
公开时间：2016-01-21 18:22
漏洞类型：后台弱口令
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-12-08： 细节已通知厂商并且等待厂商处理中
2015-12-09： 厂商已经确认，细节仅向厂商公开
2015-12-19： 细节向核心白帽子及相关领域专家公开
2015-12-29： 细节向普通白帽子公开
2016-01-08： 细节向实习白帽子公开
2016-01-21： 细节向公众公开
简要描述：
为什么每次都走小厂商？挖得心好累（-____-）
谁有乌云大厂商名单，求一份？感激不尽！
详细说明：
闲逛，偶然遇到一个ip
180.76.16.101
百度一下 显示是百度的
应该没错吧
再确认一次：
然后打开
admin admin 居然成功登录 吓了一跳
漏洞证明：
发现有三个超级管理员：
可修改管理员密码
可修改素材：
这要是挂马什么的 危害比较大
市场推广：
重点是： 过了一会 再重新登录 密码不对了。。。
应该是管理员发现了然后改了密码
然后利用浏览器缓存 打开：
再次成功进入 这时候发现 少了一个管理员 被删了
为了证明漏洞的存在 我把cherish 这个管理员密码改为 cherish123 ， 绝无恶意
管理员自己改回去吧 表示很抱歉
修复方案：
杜绝弱口令
（吐槽一下：bsrc审核速度好慢。。。）
版权声明：转载请注明来源 心云@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2015-12-09 10:42
厂商回复：
感谢度百度安全的关注
最新状态：
暂无