漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-045190
漏洞标题：e路同行安全漏洞泄露用户明文密码（包含QQ密码）
相关厂商：elutongxing.com
漏洞作者： belerhacker
提交时间：2013-12-16 13:28
修复时间：2014-01-30 13:29
公开时间：2014-01-30 13:29
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-16： 细节已通知厂商并且等待厂商处理中
2013-12-16： 厂商已经确认，细节仅向厂商公开
2013-12-26： 细节向核心白帽子及相关领域专家公开
2014-01-05： 细节向普通白帽子公开
2014-01-15： 细节向实习白帽子公开
2014-01-30： 细节向公众公开
简要描述：
匿名用户获取所有注册用户的帐号信息，包括明文密码。由于网站有诱导用户以QQ帐号和密码注册，所以同时会泄漏使用了相同密码的QQ密码。
详细说明：
链接http://elutongxing.com/forum/forum/getUserInfo/${id}链接无安全限制。${id}未自增，可以丛0开始遍历。如：http://elutongxing.com/forum/forum/getUserInfo/1。刚链接将返回完整的用户信息，包括明文密码。
网站对用户注册有很强的诱导性，大量用户以QQ号码和QQ密码在网站注册。所以此漏洞还泄漏了大量的QQ号码及密码。
漏洞证明：
修复方案：
1 不使用明文保存密码
2 对重要网址进行安全验证
3 不诱导客户输入QQ号码和QQ密码
版权声明：转载请注明来源 belerhacker@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2013-12-16 13:33
厂商回复：
我们将尽快修复
最新状态：
暂无