当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0123634

漏洞标题：视频网站安全之爱奇艺超多内部员工账户体系控制不严(涉及大量用户信息\内部运营敏感信息\大量黄金会员卡密等)

相关厂商：奇艺

漏洞作者： 管管侠

提交时间：2015-06-30 10:35

修复时间：2015-08-14 10:52

公开时间：2015-08-14 10:52

漏洞类型：账户体系控制不严

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-06-30： 细节已通知厂商并且等待厂商处理中
2015-06-30： 厂商已经确认，细节仅向厂商公开
2015-07-10： 细节向核心白帽子及相关领域专家公开
2015-07-20： 细节向普通白帽子公开
2015-07-30： 细节向实习白帽子公开
2015-08-14： 细节向公众公开

简要描述：

看完乐视，看爱奇艺，都是你们忠实的会员用户。
问题多多，疑似可内网，就这样吧！！
爱奇艺会员到期了，传说爱奇艺送会员年卡！！！！！有没有终身会员？？？

详细说明：

https://mail.qiyi.com

mask 区域 
*****x	Qiy*****
*****x	Qiyi*****
*****Qwer*****
*****wer1*****
*****Qwer1*****
*****	Qwe*****
*****ng	Iqi*****
*****	Iqiyi*****
*****	Qiyi@*****
*****	Qiyi@*****
*****sx	Qiy*****
*****Qiyi@*****
*****iyi@1*****
*****Qiyi@*****
*****iyi@1*****
*****Qiyi@*****
*****iyi@1*****
*****Qiyi@1*****
*****Qiyi@*****
*****x	Qiyi*****
*****	Qiyi@*****
*****iyi@12*****
*****	Qiyi@*****
*****iyi@12*****
*****Qiyi@*****
*****Qiyi@*****
*****iyi@1*****
*****Qiyi@*****
*****Qiyi@*****
*****	Qiy*****
*****	Qiy*****
*****	Qiyi*****
*****	Qiyi*****
*****ng	Qiy*****
*****Qiyi@*****
*****in	Qi*****

..........还有很多，测试测试，ip被拌了，就没跑了，估计还有很多

漏洞证明：

往来邮件几十万到上百万封，内容涉及大量内部运营信息、N多用户详细信息的xls、黄金会员卡、N多密码邮件等

q1.png


q2.png


q3.png


q5.png


q6.png


https://vpn.qiyi.com
这个是vpn，不玩了

修复方案：

授予“管管侠”同志“爱奇艺”“终身会员”称号！

版权声明：转载请注明来源 管管侠@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2015-06-30 10:51

厂商回复：

感谢 管管侠 关注爱奇艺PPS。 我们会尽快落实增强 密码策略。 这件事从去年就提过几次，一直未能实施。 谢谢支持 :)

最新状态：

暂无