漏洞概要
关注数(24)
关注此漏洞
漏洞标题:壹药网某系统设计缺陷可方便撞库
提交时间:2015-01-04 19:59
修复时间:2015-01-05 17:14
公开时间:2015-01-05 17:14
漏洞类型:设计缺陷/逻辑错误
危害等级:中
自评Rank:10
漏洞状态:厂商已经修复
Tags标签:
无
漏洞详情
披露状态:
2015-01-04: 细节已通知厂商并且等待厂商处理中
2015-01-04: 厂商已经确认,细节仅向厂商公开
2015-01-05: 厂商已经修复漏洞并主动公开,细节向公众公开
简要描述:
为啥什么防范都没有?
详细说明:
http://m.111.com.cn/question/login/
这个接口登陆,没有验证码,也不限制登陆失败次数.居然还会告诉你是用户名不存在还是密码错误,增加撞库的成功率.
虽然说增加了撞库的成功率,但是我去下珍爱网的裤子去撞,随机取1w条数据就只撞出来1条能登陆成功的帐号密码.
漏洞证明:
附上自己的扫号时的代码
修复方案:
漏洞回应
厂商回应:
危害等级:低
漏洞Rank:3
确认时间:2015-01-04 20:14
厂商回复:
感谢您对壹药网的支持,我们会尽快修复该漏洞的。
另外来了也别空着手回去了,冈本 情趣内衣来一套呗。
最新状态:
2015-01-05:漏洞已修复,感谢各位白帽子对壹药网的支持。
漏洞评价:
评论
-
2015-01-04 20:24 |
orange ( 普通白帽子 | Rank:185 漏洞数:38 | 戒骄戒躁。)
-
2015-01-04 20:32 |
梧桐雨 ( 核心白帽子 | Rank:1576 漏洞数:184 | 关注技术与网络安全)
-
2015-01-04 20:42 |
天地不仁 以万物为刍狗 ( 普通白帽子 | Rank:977 漏洞数:264 | 天地本不仁 万物为刍狗)
中国好厂商 中国好节操 欢迎来挖由中国好厂商赞助的中国壹药网漏洞 一大批冈本 情趣内衣 充气娃娃来袭
-
2015-01-04 20:42 |
一天到晚吃 ( 实习白帽子 | Rank:58 漏洞数:23 | 好好看,好好学 test12xx)
-
2015-01-04 21:08 |
p4ssw0rd ( 普通白帽子 | Rank:306 漏洞数:92 | 不作死就不会死)
-
2015-01-05 11:54 |
壹药网(乌云厂商)
@p4ssw0rd 挖的了洞,别说情趣内衣,飞机杯都可以送。
-
2015-01-05 14:57 |
龍 、 ( 普通白帽子 | Rank:398 漏洞数:135 | 你若安好 我就是晴天)
-
2015-01-05 17:36 |
CodeMan ( 路人 | Rank:6 漏洞数:5 | 湖北荆州公安的)
厂商回复:感谢您对壹药网的支持,我们会尽快修复该漏洞的。另外来了也别空着手回去了,冈本 情趣内衣来一套呗。
-
2015-01-05 18:49 |
码农 ( 路人 | Rank:2 漏洞数:1 | 爱肉肉~)
-
2015-01-05 19:12 |
p4ssw0rd ( 普通白帽子 | Rank:306 漏洞数:92 | 不作死就不会死)
@壹药网 您的订单包裹搭乘圆通药网XX号列车向你奔去,请不要太过想念!哈哈哈
-
2015-01-06 12:36 |
silence ( 路人 | Rank:16 漏洞数:3 | i'm silence)
-
2015-01-09 10:55 |
aygj1412 ( 路人 | 还没有发布任何漏洞 | 只有神知道的世界)
-
2015-01-14 21:02 |
ian ( 路人 | Rank:0 漏洞数:1 | 欢迎各位大牛加我哦)
-
2015-01-15 18:12 |
李宇航的小柠檬 ( 路人 | Rank:5 漏洞数:1 | 小柠檬甜不甜)
另外来了也别空着手回去了,冈本 情趣内衣来一套呗。
-
2015-01-21 12:13 |
Stardustsky ( 路人 | Rank:4 漏洞数:3 | ……)
-
2015-01-30 12:45 |
momo ( 实习白帽子 | Rank:91 漏洞数:24 | ★精华漏洞数:24 | WooYun认证√)
@龍 、 @码农 @aygj1412 @ian @李宇航的小柠檬 @orange 他是叫洞主买。不是送!!!!!!!!!!!
-
2015-01-30 14:30 |
黑马 ( 路人 | Rank:0 漏洞数:2 | 不要问我从哪里来,我是黑暗中的光明者!)