当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0149626

漏洞标题:来这游主站及APP端漏洞打包(泄露用户信息邮箱/手机号/姓名等)涉及25W用户

相关厂商:lezyo.com

漏洞作者: milkwort。

提交时间:2015-10-26 19:30

修复时间:2015-12-11 12:14

公开时间:2015-12-11 12:14

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-10-26: 细节已通知厂商并且等待厂商处理中
2015-10-27: 厂商已经确认,细节仅向厂商公开
2015-11-06: 细节向核心白帽子及相关领域专家公开
2015-11-16: 细节向普通白帽子公开
2015-11-26: 细节向实习白帽子公开
2015-12-11: 细节向公众公开

简要描述:

来这游主站及APP端存在逻辑错误及SQL注射漏洞

详细说明:

1.在忘记密码处存在SQL注射漏洞:

图片1.jpg


图片2.jpg


图片3.jpg


数据库(用户信息,只查看了一些用户,其他的太多了):

图片4.jpg


图片5.jpg


图片6.jpg


图片7.jpg


图片8.jpg


图片17.jpg


2.任意用户注册(验证码可爆破,成功注册了一个用户13888888881):

图片9.jpg


图片10.jpg


图片11.jpg


图片12.jpg


3.任意用户密码重置(手机验证码方式重置用户:13888888881):

图片13.jpg


图片14.jpg


图片15.jpg


图片16.jpg

漏洞证明:

发现土豪账号给人注册过了,(13888888888)顺便重置密码当下土豪:

图片19.jpg


图片20.jpg


图片21.jpg


图片22.jpg


图片23.jpg


图片24.jpg


成功登陆(13888888888):

图片25.jpg


APP端同样可重置任意用户:

图片1.jpg


图片2.jpg


图片3.jpg


成功登陆:

图片4.jpg


随心所欲,想登录谁的账号就登谁的!!!

修复方案:

过滤,做好限制。
请求来个礼物呗~!

版权声明:转载请注明来源 milkwort。@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2015-10-27 12:12

厂商回复:

数据提交安全性问题。泄露用户基础数据。虽然不涉及密码,但是同样会影响用户数据安全。

最新状态:

暂无