漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0112309
漏洞标题：PPTV某接口设计不当可导致大规模撞库：妈妈再也不用担心我看电视没会员了之二（账号证明）
相关厂商：PPTV(PPlive)
漏洞作者： 路人甲
提交时间：2015-05-06 10:29
修复时间：2015-06-20 11:32
公开时间：2015-06-20 11:32
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：14
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-06： 细节已通知厂商并且等待厂商处理中
2015-05-06： 厂商已经确认，细节仅向厂商公开
2015-05-16： 细节向核心白帽子及相关领域专家公开
2015-05-26： 细节向普通白帽子公开
2015-06-05： 细节向实习白帽子公开
2015-06-20： 细节向公众公开
简要描述：
挖洞最苦逼的事莫过于编辑了半天的漏洞最后发现竟然不存在。。
详细说明：
前面几次的接口大都是在电脑端，已经fixed的差不多了，而且唯一一次大规模撞库还中途卡死了。。再挖没有挖到。。始终不甘心啊。。
谁让你目光短浅，只停留在电脑端的，屌丝活该你挖洞挖不到，对啊，这一次的接口在PPTV的HD端~
首先下载PPTV的HD端，看到登陆的地方没有任何限制
然后呢？然后我就淫荡一笑，开始抓包~发现用户名和密码全部都是明文传输的，果然是一个新的接口~
接口请求：
然后开始撞库咯，上次撞到中途卡死了，刚刚在zone悬赏了我2大WB换来的如何有效避免burp卡死的方法，肯定不能白花wb啊，试试方法管用不管用咯~
嘿咻嘿咻的撞完了，字节长度1800+的都是成功的哦，先看一下burp的比例：
然后导出后粗略计算了一下差不多是32000+的用户~
上次VIP不够用？没关系，这次还有好多~放出几个：
账号：rbptgpwg 密码：134078
账号：vhuoshjv 密码：516798
账号：juh841588 密码：20150411
这个是刚刚想到挖到的，本来想等上一个fixed了再发出来的，但是想了想还是直接发出来吧，一起修复比较省力气嘛（看我多为运维大大着想-v-好意思不给高rank嘛你~）~
漏洞证明：
如上咯，发出一些用户名和密码试试咯（上次说放出的用户名和密码太多，外面看漏洞的又看不到，又不会泄露- -这次就少放出一点证明一下吧）~
修复方案：
爱疯端应该也是有此类的撞库漏洞的，但是屌丝一枚没有爱疯，也就无法测试了，要不你给我个爱疯我给你试试？（纯属开玩笑。。）
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2015-05-06 11:30
厂商回复：
谢谢提供，正在修复中
最新状态：
暂无