漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-059166
漏洞标题：人人网一处越权操作可看未授权妹子们的相册.
相关厂商：人人网
漏洞作者： 梧桐雨
提交时间：2014-05-02 12:37
修复时间：2014-06-16 12:38
公开时间：2014-06-16 12:38
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：8
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-02： 细节已通知厂商并且等待厂商处理中
2014-05-03： 厂商已经确认，细节仅向厂商公开
2014-05-13： 细节向核心白帽子及相关领域专家公开
2014-05-23： 细节向普通白帽子公开
2014-06-02： 细节向实习白帽子公开
2014-06-16： 细节向公众公开
简要描述：
通过一个接口是可以访问人人妹子们的相册的，即使不加好友的情况下。
详细说明：
一个相册获取接口能做什么？若权限控制不好，哪怕没有同意，或者授权的情况下。皆可获取用户信息。
例子：
正常情况下，相册那块是灰色的，需要添加好友才能访问妹子们的相册。
如果直接访问，则会提示：
但是有了如下接口：
http://renrenhelper.sinaapp.com/run/list.php?uid=
只要获取了用户的uid，即可访问任意妹子的相册了！
以上图为例，我还没加妹子好友的呢！试试看
圈中的部分为uid
最后得到uid：327827630
http://renrenhelper.sinaapp.com/run/list.php?uid=327827630 访问下看看
漏洞证明：
成功进入妹子未授权的相册，从而获得更多隐私信息。
各种隐私暴露无疑。
修复方案：
还是缺乏权限验证。
版权声明：转载请注明来源 梧桐雨@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2014-05-03 20:45
厂商回复：
感谢您对人人安全作出的贡献，谢谢
最新状态：
暂无