漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-05846
漏洞标题：凤凰网论坛已经被人用来钓鱼或者做广告啦！
相关厂商：凤凰网
漏洞作者： 蟋蟀哥哥
提交时间：2012-04-07 18:45
修复时间：2012-05-22 18:46
公开时间：2012-05-22 18:46
漏洞类型：钓鱼欺诈信息
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-04-07： 细节已通知厂商并且等待厂商处理中
2012-04-10： 厂商已经确认，细节仅向厂商公开
2012-04-20： 细节向核心白帽子及相关领域专家公开
2012-04-30： 细节向普通白帽子公开
2012-05-10： 细节向实习白帽子公开
2012-05-22： 细节向公众公开
简要描述：
本人比较喜欢凤凰网，前段时间访问凤凰网论坛的时候就发现有钓鱼url。今天访问依然存在。
详细说明：
本人比较喜欢凤凰网，前段时间访问凤凰网论坛的时候就发现有钓鱼url。今天访问依然存在。
漏洞证明：
访问:
http://bbs.travel.ifeng.com/thread-101226-1-1.html#pid217006
然后随便找一个链接点击，会发现被重定向到其他网站上。
后果不用说了，很容易被人拿来钓鱼用的
修复方案：
怎么禁止我就不说了。关键是这个漏洞感觉像是自己人搞的。并且留言垃圾广告众多。。还有flash广告。经常搞得我不知道是哪个页面有声音了，一看原来又是凤凰网。。。 凤凰网的论坛应该大力整顿。一个好好的站就这样被毁了
版权声明：转载请注明来源 蟋蟀哥哥@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：2
确认时间：2012-04-10 16:25
厂商回复：
首先，非常感谢您对凤凰网的关注，但是对于您觉得tinyurl是“关键是这个漏洞感觉像是自己人搞的”表示不知道怎么理解，现在存在tinyurl服务的站点并非凤凰网一个，您可以在google输入inurl:"http://url.cn/"，翻到第12页，腾讯依托它的用户群体的举报行为可以解决一部分这类问题，我们可能做的就是尽量做的更好，另外如果您觉得您有办法在没有腾讯这样用户资源的前提下确定tinyurl所指向的内容是否指向欺诈站点（该tinyurl生成之前和生成之后，该地址所指向的链接页面即使修改了也能识别）的话，可以私信给我，另外您如果在论坛看到发出声音的flash内容，也非常希望您可以提供给我们，再次感谢您对凤凰网信息安全的关注。
最新状态：
暂无