当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-040695

漏洞标题:中国手游旗下某站安全问题260W用户数据危机

相关厂商:中国手游

漏洞作者: 养乐多Ngan

提交时间:2013-10-23 16:10

修复时间:2013-10-28 16:10

公开时间:2013-10-28 16:10

漏洞类型:应用配置错误

危害等级:高

自评Rank:17

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-10-23: 细节已通知厂商并且等待厂商处理中
2013-10-28: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

中国手游旗下某站安全问题,260W用户数据危机。
This is a bug!
另外请第一视频的审核人员看完漏洞后记得打分啊~~,别忽略了。

详细说明:

在找第一视频的洞洞的时候,看到了中国手游是第一视频集团旗下的

1.jpg


然后找了下,没找到什么东西,就扫了下C段。

2.jpg


然后神奇的事发生了,竟然有解析漏洞!?
验证地址:http://bbs.douwan.cn/robots.txt/1.php
然后就是上传图片getshell

3.jpg


浏览数据库的时候发现了这个disucz_cmge数据库,里面有260W用户的数据。

4.jpg


然后再慢慢发现,原来bbs.cmge.com的服务器和这个是同个服务器,而且已经被人黑过了。
证明地址:http://bbs.cmge.com/test.html。

漏洞证明:

请见详细说明。

修复方案:

程序猿懂的。

版权声明:转载请注明来源 养乐多Ngan@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2013-10-28 16:10

厂商回复:

最新状态:

暂无