漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-028612
漏洞标题：人人网隐私设置绕过
相关厂商：人人网
漏洞作者： Icyblade
提交时间：2013-07-13 10:39
修复时间：2013-08-27 10:40
公开时间：2013-08-27 10:40
漏洞类型：账户体系控制不严
危害等级：低
自评Rank：5
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-07-13： 细节已通知厂商并且等待厂商处理中
2013-07-14： 厂商已经确认，细节仅向厂商公开
2013-07-24： 细节向核心白帽子及相关领域专家公开
2013-08-03： 细节向普通白帽子公开
2013-08-13： 细节向实习白帽子公开
2013-08-27： 细节向公众公开
简要描述：
隐私设置绕过，可以查看非好友的相册照片，并且不会留下来访记录
详细说明：
0x00 ID
首先建个小号，进入目标人人主页：http://www.renren.com/123456789/profile，记录123456789，这是目标的 ID
0x01 头像相册
直接进入 http://photo.renren.com/photo/123456789/album-profile
这里点开最近的一张头像，URL 里面有个 photoId=987654321，记下来
0x02 最近照片
直接进入 http://photo.renren.com/photo/123456789/latest/photo-987654321
就可以看到一些最近上传的照片
0x03 越权查看其他（部分）相册
任意点开上面的一张最近照片，网页中会有以下的东西
点开"快速上传"。如果目标没有对该相册做单独的权限设置，而是只在人人的全局隐私设置中设置了禁止非好友访问相册的话，就可以访问到整个"快速上传"相册。
其他相册同理
漏洞证明：
随手找的一个小白鼠 = =
这是一个没有加好友，有隐私设置的人
头像相册
任意点开一张拿 photoId
进入最近照片
点开下面的 my new car
修复方案：
这个你们比我懂
版权声明：转载请注明来源 Icyblade@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2013-07-14 21:55
厂商回复：
感谢!
最新状态：
暂无