漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-04241
漏洞标题：手机搜房网路径泄漏
相关厂商：搜房网
漏洞作者： Ambulong
提交时间：2012-02-06 02:29
修复时间：2012-03-22 02:30
公开时间：2012-03-22 02:30
漏洞类型：敏感信息泄露
危害等级：低
自评Rank：5
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-02-06： 细节已通知厂商并且等待厂商处理中
2012-02-06： 厂商已经确认，细节仅向厂商公开
2012-02-16： 细节向核心白帽子及相关领域专家公开
2012-02-26： 细节向普通白帽子公开
2012-03-07： 细节向实习白帽子公开
2012-03-22： 细节向公众公开
简要描述：
手机搜房网配置不当或代码不完善导致路径泄漏
(顺便告诉我如何领取礼物，不知是我不会领还是厂商放送的步骤错误，只有一个收到礼物后点击“确认”的提醒，谢谢厂商了啊:-)
详细说明：
手机搜房网代码不完善导致在处理SESSION的过程中程序返回warning,配置问题导致警告的显示，警告的显示导致路径泄漏。
在http://wap.soufun.com/先随便登录下，产生SESSION后再点击“注册”，在注册页面中就会返回找不到储存SESSION的文件的路径和程序的路径。
路径显而易见。
Rank为5是因为搜房网的注入问题有点多（后面的漏洞报告会证明），路径暴露容易被利用插入后门。
漏洞证明：
下面是正常页面
修复方案：
修改程序配置，不是测试应该没必要显示错误和警告。
或者改善程序代码
版权声明：转载请注明来源 Ambulong@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2012-02-06 12:27
厂商回复：
已经修复，多谢！
最新状态：
暂无