当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0178874

漏洞标题：onlylady女人志某分站验证码设计缺陷可绕过撞库用户

相关厂商：onlylady女人志

漏洞作者： 路人甲

提交时间：2016-02-26 17:26

修复时间：2016-03-02 17:30

公开时间：2016-03-02 17:30

漏洞类型：设计缺陷/逻辑错误

危害等级：低

自评Rank：3

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-02-26： 细节已通知厂商并且等待厂商处理中
2016-03-02： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

onlylady女人志某分站验证码设计缺陷可绕过撞库用户

详细说明：

http://blog.onlylady.com blog的登录位置存在验证码

a.png


用户名密码明文：

b.png


登录错误次数多了之后就会提示出错，我以为这个是针对IP的，没想到是针对用户名的，那就没啥卵用了，测试撞库是可以的：

c.png


d.png


成功帐号证明：

mask 区域 
*****11111	*****
*****3457	*****
*****3456*****
*****518	2*****
*****111	*****
*****3456*****
*****988062*****
*****52144*****
*****31102	*****
*****11111*****
*****456	2*****
*****28788	*****
*****850916*****
*****76122*****
*****3457	*****
*****353400*****
*****224126*****
*****6850066*****
*****550317*****
*****30417*****
*****979811*****
*****1212*****
*****1024	*****
*****456	2*****
*****11111*****
*****399345*****
*****230078*****
*****722704*****
*****861771*****
*****	zhang*****
*****l198122*****
*****39204048*****
*****3456*****
*****975030*****

漏洞证明：

http://blog.onlylady.com blog的登录位置存在验证码

a.png


用户名密码明文：

b.png


登录错误次数多了之后就会提示出错，我以为这个是针对IP的，没想到是针对用户名的，那就没啥卵用了，测试撞库是可以的：

c.png


d.png


成功帐号证明：

mask 区域 
*****11111	*****
*****3457	*****
*****3456*****
*****518	2*****
*****111	*****
*****3456*****
*****988062*****
*****52144*****
*****31102	*****
*****11111*****
*****456	2*****
*****28788	*****
*****850916*****
*****76122*****
*****3457	*****
*****353400*****
*****224126*****
*****6850066*****
*****550317*****
*****30417*****
*****979811*****
*****1212*****
*****1024	*****
*****456	2*****
*****11111*****
*****399345*****
*****230078*****
*****722704*****
*****861771*****
*****	zhang*****
*****l198122*****
*****39204048*****
*****3456*****
*****975030*****

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2016-03-02 17:30

厂商回复：

最新状态：

暂无