当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0172988

漏洞标题：37wan被某代理服务器撞库攻击（代理服务器泄露撞库所用账号资源）

相关厂商：三七互娱（上海）科技有限公司

漏洞作者： 翟四岚

提交时间：2016-01-27 13:08

修复时间：2016-03-14 16:43

公开时间：2016-03-14 16:43

漏洞类型：网络敏感信息泄漏

危害等级：中

自评Rank：9

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-01-27： 细节已通知厂商并且等待厂商处理中
2016-01-31： 厂商已经确认，细节仅向厂商公开
2016-02-10： 细节向核心白帽子及相关领域专家公开
2016-02-20： 细节向普通白帽子公开
2016-03-01： 细节向实习白帽子公开
2016-03-14： 细节向公众公开

简要描述：

攻击者代理设置错误，导致大量请求发送到了本公司服务器上，其中暴露了37.com在get请求中使用明文密码，37wan的部分账户因为撞库导致泄漏

详细说明：

今天公司开发在巡检时，发现大量来自37.com的日志，
例如：

2016/01/27 11:10:15 [error] 24316#0: *36158881 FastCGI sent in stderr: "PHP message: PHP Fatal error:  Class 'api\controller\login' not found in /our app's path/CApplication.php on line 36" while reading response header from upstream, client: 42.51.159.184, server: mudu.tv, request: "GET http://my.37.com/api/login.php?callback=jQuery18306346307694952913_1453864220307&action=login&login_account=zhourenfa&password=zhourenfa&ajax=0&remember_me=1&save_state=1&ltype=1 HTTP/1.1", upstream: "fastcgi://127.0.0.1:9000", host: "my.37.com", referrer: "http://my.37.com/api/login.php?callback=jQuery18306346307694952913_1453864220307&action=login&login_account=zhourenfa&password=zhourenfa&ajax=0&remember_me=1&save_state=1&ltype=1"


推测是37.com的网络配置错误，导致请求写到了本公司服务器上，更令人吃惊的是，37.com在get请求中暴露了明文密码，也就是说，在任意可以控制的网络内，都可以获得经过的37玩的用户密码

漏洞证明：

EEEB1EF7-19DC-4225-9FE8-8668E179C5C4.jpeg


2.png


修复方案：

不传输明文密码

版权声明：转载请注明来源 翟四岚@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2016-01-31 23:45

厂商回复：

经过查实，已确认不是因为网络配置有问题。该事件其实是一次撞库事件，攻击者利用一个精准的库去撞我们平台的账号密码，但是由于设置错了代理，导致把账号密码发送到了白帽子他们公司的服务器。

最新状态：

暂无

漏洞评价：

评价

  1. 2016-01-27 13:51 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    这个漏洞场景好奇葩。。

  2. 2016-01-27 14:04 | D＆G ( 普通白帽子 | Rank:561 漏洞数:110 | going)

    有意思

  3. 2016-01-27 15:05 | 三七互娱（上海）科技有限公司(乌云厂商)

    您好，感谢提交漏洞，但是我们这边对该漏洞有疑问，需要进一步沟通才能确定漏洞，请问方便私信提供联系方式吗？

  4. 2016-01-27 15:32 | smarttang ( 路人 | 还没有发布任何漏洞 | 乌云两个帐号都是我的...t.qq.com/mojige...)

    我好奇路人甲是谁。。。

  5. 2016-01-28 18:31 | ddy ( 实习白帽子 | Rank:45 漏洞数:17 | 其实第一次要我挖洞我是拒绝的。因为，你不...)

    @smarttang 我好奇你咋注册的...

  6. 2016-01-29 13:46 | 90Snake ( 普通白帽子 | Rank:152 漏洞数:53 | 人如果没有梦想，跟咸鱼有什么分别)

    @ddy 可以匿名。。

  7. 2016-01-29 18:53 | ddy ( 实习白帽子 | Rank:45 漏洞数:17 | 其实第一次要我挖洞我是拒绝的。因为，你不...)

    @90Snake 但是匿名好像也会显示提交的数量的耶

  8. 2016-01-29 18:57 | 90Snake ( 普通白帽子 | Rank:152 漏洞数:53 | 人如果没有梦想，跟咸鱼有什么分别)

    @ddy No..你看我是不是47条？其实我是48条

  9. 2016-01-29 22:04 | ddy ( 实习白帽子 | Rank:45 漏洞数:17 | 其实第一次要我挖洞我是拒绝的。因为，你不...)

    @90Snake ( 普通白帽子 | Rank:146 漏洞数:48http://ww4.sinaimg.cn/mw1024/005O3bnFgw1f0gptiywu5j316y0czdht.jpg

  10. 2016-02-01 09:52 | 武器大师 ( 路人 | Rank:20 漏洞数:4 | 梦想成为挖洞大师)

    @90Snake 。。。你就是48

  11. 2016-03-07 09:40 | smarttang ( 路人 | 还没有发布任何漏洞 | 乌云两个帐号都是我的...t.qq.com/mojige...)

    @ddy 每天用5姑娘撸个半小时，注册成功。。。