漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017831
漏洞标题：人人网分站漏洞战火燃烧至主站甚至更远
相关厂商：人人网
漏洞作者： zzR
提交时间：2013-01-25 09:50
修复时间：2013-03-11 09:50
公开时间：2013-03-11 09:50
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-25： 细节已通知厂商并且等待厂商处理中
2013-01-25： 厂商已经确认，细节仅向厂商公开
2013-02-04： 细节向核心白帽子及相关领域专家公开
2013-02-14： 细节向普通白帽子公开
2013-02-24： 细节向实习白帽子公开
2013-03-11： 细节向公众公开
简要描述：
木桶原理又称短板理论，木桶短板管理理论，所谓“木桶理论”也即“木桶定律”，其核心内容为：一只木桶盛水的多少，并不取决于桶壁上最高的那块木块，而恰恰取决于桶壁上最短的那块。根据这一内容，可以有两个推论：其一，只有桶壁上的所有木板都足够高，那木桶才能盛满水。其二，只要这个木桶里有一块不够高度，木桶里的水就不可能是满的。
----摘自wiki君
详细说明：
站点：
另外一处存储型跨站：意见反馈，导致feedback后台权限泄露，并由此导致一管理员账号信息及管理员敏感信息泄露，影响到主站及公共主页。（之前可能没说清楚）
漏洞证明：
1·feedback list
众多留言
2·顺便把此君 的【遇见】看了一遍，还是有较多信息的
3·看了遇见 就可以看人人主页了
从内容上看，应该是人人公司内部员工呢，说不定还是个领导呢
4·该管理员兼职一个公共主页的超级管理员，据说权限还不小
5·公共主页后台权限泄露
-------------割了-------------
至此，该管理员的全部人人信息泄露，从一个点到一个面
修复方案：
好说
版权声明：转载请注明来源 zzR@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2013-01-25 10:15
厂商回复：
虽然已经报过类似的，但是这次危害更详细，感谢！
最新状态：
暂无