漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2013-040230
漏洞标题:网易邮箱登录二次验证可绕过
相关厂商:网易
漏洞作者: 小龙
提交时间:2013-11-28 16:47
修复时间:2013-11-29 10:29
公开时间:2013-11-29 10:29
漏洞类型:设计缺陷/逻辑错误
危害等级:中
自评Rank:5
漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2013-11-28: 细节已通知厂商并且等待厂商处理中
2013-11-29: 厂商已经主动忽略漏洞,细节向公众公开
简要描述:
网易
详细说明:
这个可以危害他人,原因:1:敏感信息多
2:你们已经被脱过库了
这个很无语。。
手机客户端也存在同类的。
可以想一下绕过后拿到一个密码,然后再利用社工,你懂得,呵呵。 假设他里面有500, 是玩网络的,赚了差不多3月,就这么被转走,呵呵。。 无语- -
你们库子泄露出去过,但是如果让别人设置这个还是安全的,但是还是被绕过了,拿到了XXX有限公司的FTP或者空间商,或者身份证在里面,那我就 不知道咯。。。
漏洞证明:
这个可以危害他人,原因:1:敏感信息多
2:你们已经被脱过库了
这个很无语。。
手机客户端也存在同类的。
可以想一下绕过后拿到一个密码,然后再利用社工,你懂得,呵呵。 假设他里面有500, 是玩网络的,赚了差不多3月,就这么被转走,呵呵。。 无语- -
你们库子泄露出去过,但是如果让别人设置这个还是安全的,但是还是被绕过了,拿到了XXX有限公司的FTP或者空间商,或者身份证在里面,那我就 不知道咯。。。
修复方案:
1:限制wap登陆,或者wap登陆也需要同步在163.com
2:手机客户段同步在163.com
3:都证明了。。
版权声明:转载请注明来源 小龙@乌云
漏洞回应
厂商回应:
危害等级:无影响厂商忽略
忽略时间:2013-11-29 10:29
厂商回复:
感谢您对网易的关注,该问题并不是安全漏洞。
最新状态:
暂无