漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0121295
漏洞标题：新浪某分站接口设计不当可撞库用户
相关厂商：新浪
漏洞作者： 路人甲
提交时间：2015-06-18 11:46
修复时间：2015-08-06 21:04
公开时间：2015-08-06 21:04
漏洞类型：设计缺陷/逻辑错误
危害等级：低
自评Rank：5
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-18： 细节已通知厂商并且等待厂商处理中
2015-06-22： 厂商已经确认，细节仅向厂商公开
2015-07-02： 细节向核心白帽子及相关领域专家公开
2015-07-12： 细节向普通白帽子公开
2015-07-22： 细节向实习白帽子公开
2015-08-06： 细节向公众公开
简要描述：
新浪撞库
详细说明：
先来到登陆界面：http://j1.esf.sina.com.cn/login发现是没有验证码的，也没有ｈｔｔｐｓ加密协议的
随便输入错误几次用户名和密码可以看到预料中讨厌的验证码就出来了
经过测试这种验证码是形同虚设的，就是说第一次输入正确以后一直正确的，然后直接抓包发现用户名和密码都是明文的
直接载入字典撞库，出来了不少，这里发一部分：
然后随便登陆几个看了看发现活跃用户很多，里面还有很多是企业用户的,详细住址,电话之类的敏感信息泄露还是挺严重的= =，我是好孩纸,肯定不会拿这些东西去做坏事,如果黑产大规模撞库然后。。你们懂得
求个邀请码，之前提交过几个漏洞要么说网站太小要么说不够详细不给通过，新浪不算小了吧，这次编辑的个人觉得还比较详细了。。这个都是房产啥的而且大都是活跃用户，危害也不算小吧。。
漏洞证明：
先来到登陆界面：http://j1.esf.sina.com.cn/login发现是没有验证码的，也没有ｈｔｔｐｓ加密协议的
随便输入错误几次用户名和密码可以看到预料中讨厌的验证码就出来了
经过测试这种验证码是形同虚设的，就是说第一次输入正确以后一直正确的，然后直接抓包发现用户名和密码都是明文的
直接载入字典撞库，出来了不少，这里发一部分：
然后随便登陆几个看了看发现活跃用户很多，里面还有很多是企业用户的,详细住址,电话之类的敏感信息泄露还是挺严重的= =，我是好孩纸,肯定不会拿这些东西去做坏事,如果黑产大规模撞库然后。。你们懂得
求个邀请码，之前提交过几个漏洞都说网站太小不给通过，新浪不算小了吧。。这个都是房产啥的而且大都是活跃用户，危害也不算小吧。。
修复方案：
验证码改一下
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：1
确认时间：2015-06-22 21:02
厂商回复：
此漏洞已有白帽子反馈过，已经同步给合作方。感谢关注新浪安全。
最新状态：
暂无