漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-07492
漏洞标题：李锦记官网[非漏洞]入侵
相关厂商：李锦记官网
漏洞作者： CnCxzSec(衰仔)
提交时间：2012-05-24 18:50
修复时间：2012-07-08 18:51
公开时间：2012-07-08 18:51
漏洞类型：成功的入侵事件
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-05-24： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-07-08： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
下午爆出来某酱油有问题，当然不是李锦记了：）
兴起就看了下李锦记的官网，结果发现了有意思的东西。
本次入侵没有利用任何程序漏洞，如果说有漏洞，那就是“人的漏洞”。这也是我们目前认为比较难处理和修复的漏洞。
没技术含量，作为典型案例，发到乌云，希望能起一个警醒他人的作用。
详细说明：
李锦记系列网站有很多分站，还有弄一些APP开发比赛啥的。
某分站下存在“说明.txt”文件，http://cookingdaren.lkk.com:8083/说明.txt，打开后，就亮瞎我的狗眼了。管理员把聊天记录、笔记都放在上面了。直接搜索“密码”,“pwd”等字段，意外惊喜。
官方微博账号密码
服务器账号密码
利用以上信息，成功登陆官方微博及服务器远程桌面
done
漏洞证明：
同上
修复方案：
人的漏洞，你说怎么办？
版权声明：转载请注明来源 CnCxzSec(衰仔)@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：10 (WooYun评价)