漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-014929
漏洞标题：乐蜂网的几个小问题
相关厂商：乐蜂网
漏洞作者： softbug
提交时间：2012-11-18 20:49
修复时间：2013-01-02 20:49
公开时间：2013-01-02 20:49
漏洞类型：重要敏感信息泄露
危害等级：低
自评Rank：5
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-11-18： 细节已通知厂商并且等待厂商处理中
2012-11-19： 厂商已经确认，细节仅向厂商公开
2012-11-29： 细节向核心白帽子及相关领域专家公开
2012-12-09： 细节向普通白帽子公开
2012-12-19： 细节向实习白帽子公开
2013-01-02： 细节向公众公开
简要描述：
纯娱乐，在某网上看到乐蜂网的。因忙中偷闲看到的几个小问题，所以来提交给管理员，希望可以引起乐蜂网管理员的注意，及时修正几个小问题。
详细说明：
有看到之前几个兄弟在网络上提交的关于乐蜂网的问题，估计站长都已经修复了。
后期应该是做了安全加固，包括硬件上面的提升。后者要发现更多的安全威胁可能还是有点伤脑筋。
1.客户端泄露的地址将proxool admin的后台给与了暴露，ip地址分别为：http://ixxxxxx.lafaso.com/admin和http://119.254.xx.xx/admin,头一个网站泄露了数据名。
2.乐峰网商家后台泄露，这不要紧，但这个后台的验证码推测是虚设，可以用GET带参与的方式进行burp穷尽。admin为账号名，密码只等穷举的结果。等管理员来验证这个问题。尝试了一下没有成功，但直觉告诉应该是有安全威胁。见图。
3.几个后台地址，虽然有限制，但还是可以猜测到：
http://hr.lafaso.com/admin/
http://images.lafaso.com/upload/
http://ucenter.lefeng.com
4.客户端内嵌的消息PUSH站点，www.250y.com存在S2漏洞，root权限。 虽然跟真正的Api push地址偶有关联。但建议还是修复一下。
再次感谢一下MAYAFEI的安全竞赛试题。是我见过的最好的试题。
漏洞证明：
http://119.254.??.??/vendor/index!login.action?userName=admin&password=$here_pass$
看返回信息
修复方案：
1.坚持不要做被动安全，找一个修复一个，应该主动出击审核everything
2.为运维监控敏感信息增加密码保护验证
3.密码验证先判断验证码是否争取，防止爆破
==========================
顺带帖个小广告，哪里可以找到安全方面的工作
版权声明：转载请注明来源 softbug@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2012-11-19 09:45
厂商回复：
多谢您对我们的关注，谢谢。
最新状态：
暂无