漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-06752
漏洞标题：奇虎360网络安全检测敏感信息控制不严漏洞
相关厂商：奇虎360
漏洞作者： 网路游侠
提交时间：2012-05-06 21:20
修复时间：2012-06-20 21:21
公开时间：2012-06-20 21:21
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-05-06： 细节已通知厂商并且等待厂商处理中
2012-05-06： 厂商已经确认，细节仅向厂商公开
2012-05-16： 细节向核心白帽子及相关领域专家公开
2012-05-26： 细节向普通白帽子公开
2012-06-05： 细节向实习白帽子公开
2012-06-20： 细节向公众公开
简要描述：
本是给站长用做评估同机房网站安全性的功能，却赤裸裸的把其他网站的整体安全状况暴露在公众面前，导致黑客无需扫描即可知道哪些网站有高危漏洞，从而省去“踩点”的时间。还记得多年前用domain去找同主机漏洞吗？对，这个比那一个还恨，直接把漏洞都以数值的形式列出来了。直接找到低评分的网站下手就是……
详细说明：
“同主机域名安全状况”功能本来是设计给站长用的，用以评估同机房内网站的安全性。但——个人认为直接以漏洞估值的形式将N个网站暴露给非网站拥有人员，非常不妥。
简单说：
我的网站在A机房，则360网站安全检测把子域名、同服务器的主机（实际上并不是同服务器，测试了几个，更像是同一机房）都给列出啦。并给与打分。
不费劲功夫唠唠叨叨写了，看图，亲就会欣喜的哦！和domain一个用法，但杀伤力要强的多。
漏洞证明：
修复方案：
屏蔽敏感信息。
版权声明：转载请注明来源 网路游侠@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2012-05-06 23:54
厂商回复：
该功能设计初衷是为了能让更多站长了解自己所在虚拟主机的风险情况，以便选择更佳安全的环境。
因为所在主机其他网站存在漏洞，在特殊情况下，可能导致攻击者在渗透并控制整台服务器权限后，波及到网站安全。
鉴于此，我们已经第一时间关闭该功能，以避免被专业的不法份子所利用。
让更多网站变的越来越安全是我们Webscan的设计初衷和目标
最新状态：
暂无