漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-037351
漏洞标题：管理人网未授权查看他人任意消息
相关厂商：管理人网
漏洞作者： 路人甲
提交时间：2013-09-17 11:30
修复时间：2013-11-01 11:31
公开时间：2013-11-01 11:31
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-09-17： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-11-01： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
标题暴露了一切。
看见这个：“中国第一企业管理资源中心”
我就来了。
详细说明：
我傻傻的注册了两个号互相发，在那绕过转义和尖括号过滤来着。突然抓了个包看请求的时候，
顺手一试。然后...
首先，注册一个号，查看公共消息里的任意一条消息，然后抓包获得请求地址。改一下里面的消息ID。
pmid可随意更改，可读取任意人的信息。(需要登录自己的号)
pmid可从1029开始，目前我一直读到的是其他用户的注册信息。还有部分人是用邮箱当作用户名。
目测里面包含其他敏感信息，我不接着读了。
好像限制refer,所以需要先登陆后进入会员中心
bbs.manaren.com/uc_server//index.php?m=pm_client&a=view&pmid=1029&folder=outbox&filter=&extra=page%3D
1029·？
用户信息做的时候做在公共信息里了？
求别跨省。
漏洞证明：
...
目测可以写个循环从1029读到N..
然后...
修复方案：
验证。
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝