漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-013615
漏洞标题：搜狗广告联盟开放注册，推荐朋友注册连接泄露用户账号
相关厂商：搜狗
漏洞作者： 八神庵
提交时间：2012-10-20 18:02
修复时间：2012-10-25 18:02
公开时间：2012-10-25 18:02
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-10-20： 细节已通知厂商并且等待厂商处理中
2012-10-25： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
union.sogou.com 搜狗联盟开放注册，已注册站长可以邀请朋友注册，开放推广连接泄露推广人账号
详细说明：
union.sogou.com 搜狗联盟开放注册，已注册站长可以邀请朋友注册，开放推广连接泄露推广人账号
例如我的账号huarenshequ，登陆联盟首先提示给你个推广连接邀请朋友注册送礼物的 推广连接如下：http://union.sogou.com/account/register!toReg.action?invitorCode=f366327df4fd052b4fe9854405bf5046
invitorCode=f366327df4fd052b4fe9854405bf5046 后缀你的懂的MD5解密账号爆出来了，如果别有用心的人结合常用密码什么的可以爆破掉搜狗账号，进而威胁账号里的收款身份等等信息甚至会导致用户经济损失
漏洞证明：
http://union.sogou.com/account/register!toReg.action?invitorCode=f366327df4fd052b4fe9854405bf5046
invitorCode=f366327df4fd052b4fe9854405bf5046
www.cmd5.com 解密
修复方案：
搜狗也算的那么大一个公司，你推广连接后面使用下注册人的ID行不行，别把人家的账号直接脱光的给别人看呀
版权声明：转载请注明来源 八神庵@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-10-25 18:02
厂商回复：
最新状态：
暂无