当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0124563

漏洞标题：海贝vpn官网设计缺陷，可导致撞库【妈妈再也不用担心我没vpn了】

相关厂商：海贝VPN

漏洞作者： 兔小二

提交时间：2015-07-11 12:44

修复时间：2015-08-25 12:46

公开时间：2015-08-25 12:46

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-11： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-08-25： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

vpn网站登录设计缺陷，可导致撞库，用户信息大量泄漏

详细说明：

前几天vpn到期了，刚买了vpn，顺便想研究下撞库，就拿海贝vpn测试了，thinkphp用户登录,随便输了几个，居然没有验证码。也没出现限制，用burp枚举123456的用户。
放主机上测试就睡觉了。早上起来看，一大波vpn账号到手。

漏洞证明：

QQ截图20150704190613.jpg


QQ截图20150704190651.jpg


来点账号吧：

mask 区域 
*****alse	fal*****
*****false	fa*****
*****	false	f*****
*****	false	f*****
*****	false	f*****
*****	false	f*****
*****	false	f*****
*****	false	f*****
*****	false	f*****
*****	false	f*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****false	fal*****
*****0	false	*****


修复方案：

添加验证

版权声明：转载请注明来源 兔小二@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝