漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-070018
漏洞标题：cc校友录存在高危险漏洞#可伪造任意人发帖
相关厂商：cclinux.com
漏洞作者： 小龙
提交时间：2014-07-28 18:34
修复时间：2014-08-02 18:36
公开时间：2014-08-02 18:36
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-28： 细节已通知厂商并且等待厂商处理中
2014-08-02： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
哟哟，切克闹，cc校友来一个
根据上个肉洞，我们得知了一个泄漏信息的危害，一个id，一个name，可以干嘛？ 你能盗号吗？你能社工吗？
答案是不对的，为什么？ 因为你会看到淫荡的思路，就是你们的疏忽而导致的
详细说明：
http://test.crazygame.cn/v2014/forum/forum_cate_list.asp
这里是有论坛的，然而论坛有个校友职场，校友职场有几个猥琐的人在刷帖子。。
还有三大版主： 刘雨曦 张永 福少华
(校花) (屌丝) (屌丝)
然后都对号入座了，然后张永和富少华打赌，谁先追到妹纸就让他在论坛发个帖子，然后富少华在校花的电脑植入了木马，被发现了，查杀了，然后张永发现了一个论坛的缺陷，不用帐号密码就能发帖子的，首先要找到
id和namen
我们看看吧
http://test.crazygame.cn/v2014/address/address_detail.asp?id=5950
ID找到了
名字是：刘雨曦
url加密后：%e5%88%98%e9%9b%a8%e6%9b%a6
然后发帖，在发帖的post更换数据
现在是没有的。。
漏洞证明：
http://test.crazygame.cn/v2014/forum/forum_detail.asp?fid=6&tid=5408
访问有惊喜！
修复方案：
这个很简单的。。。
版权声明：转载请注明来源 小龙@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-08-02 18:36
厂商回复：
最新状态：
暂无