当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-031975

漏洞标题：OPPO用户中心源码泄露后的噩梦 600W用户敏感信息&明文密码

相关厂商：广东欧珀移动通讯有限公司

漏洞作者： 猪猪侠

提交时间：2013-07-23 16:24

修复时间：2013-09-06 16:25

公开时间：2013-09-06 16:25

漏洞类型：重要敏感信息泄露

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-07-23： 细节已通知厂商并且等待厂商处理中
2013-07-24： 厂商已经确认，细节仅向厂商公开
2013-08-03： 细节向核心白帽子及相关领域专家公开
2013-08-13： 细节向普通白帽子公开
2013-08-23： 细节向实习白帽子公开
2013-09-06： 细节向公众公开

简要描述：

一个小小的运维缺陷，直接造成了600万用户信息，2000万机主信息的敏感隐私泄露。
声明：我只是简单的看了一下，未导任何一条数据，嗯，现在看过的东西都已经忘得差不多了，希望不要找我灭口啊~

详细说明：

#1 测试发现
最近看到wooyun上有不少同学在提交OPPO的漏洞，于是就开了下扫描器，扫了扫！
发现了这么个玩意儿：http://account.oppo.com/sysadmin.tar.gz
^_^，这是什么呢？下回来瞧一瞧！，从域名来看就知道是OPPO的用户中心了
#2 进一步研究
下回来解压缩后，吓我一跳，还真是整个用户中心的源代码。

oppo_source.jpg


瞧一瞧这些配置文件里面都有什么？

<?php
/**
 * @version $Id: config.db.php 64 2008-12-10 15:02:02Z Administrator $
 *
 * $dsn = "数据库类://用户名:密码@主机:端口/数据库名/编码/是否长连接";
 */
$dbname = array();
$siteConf = isset($siteConf) && is_array($siteConf) ? $siteConf : array();
$dbname['uni'] = 'oppo_universal'; // database name
#$siteConf['dsn']['uni']['writer'] = "MySQL://sso_rpc1225:fdG******dEGsd@***.***.*.82:33306/{$dbname['uni']}/utf8/false";
$siteConf['dsn']['uni']['writer'] = "MySQL://oppo_account1225:Bz******JEUBBFQxL%!yCjvbV@***.***.*.82:33306/{$dbname['uni']}/utf8/false";
$siteConf['dsn']['uni']['reader'] = $siteConf['dsn']['uni']['writer'];
$dbname['bbs'] = 'oppo_product_bbs15'; 
$siteConf['dsn']['bbs']['writer'] = "MySQL://oppo_bbs1225:afb0z******qfT9f1^57tW2wx5@***.***.*.47:33306/{$dbname['bbs']}/utf8/false";
$siteConf['dsn']['bbs']['reader'] = $siteConf['dsn']['bbs']['writer'];
$dbname['mp3'] = 'oppo_mp3'; // database name
$siteConf['dsn']['mp3']['writer'] = "MySQL://oppo_mp31225:7hfW******WKRXpnF6@***.***.*.82:33306/{$dbname['mp3']}/utf8/false";
$siteConf['dsn']['mp3']['reader'] = $siteConf['dsn']['mp3']['writer'];
$dbname['fansbbs'] = 'oppo_fans_bbs'; // database name
$siteConf['dsn']['fansbbs']['writer'] = "MySQL://oppo_fans1225:abb8f******JSNPrxJs@***.***.*.82:33306/{$dbname['fansbbs']}/utf8/false";
$siteConf['dsn']['fansbbs']['reader'] = $siteConf['dsn']['fansbbs']['writer'];
$dbname['oppoweb'] = 'oppoweb'; // database name
$siteConf['dsn']['oppoweb']['writer'] = "MySQL://oppoweb1225:zY3_a******JBPmy_UChiqO5oI@***.***.*.82:33306/{$dbname['oppoweb']}/utf8/false"; 
$siteConf['dsn']['oppoweb']['reader'] = $siteConf['dsn']['oppoweb']['writer'];
$dbname['med'] = 'oppo_med'; // database name
$siteConf['dsn']['med']['writer'] = "MySQL://oppoweb1225:zY3_aNzES******y_UChiqO5oI@***.***.*.82:33306/{$dbname['med']}/utf8/true/false";
$siteConf['dsn']['med']['reader'] = $siteConf['dsn']['med']['writer'];
$dbname['www'] = 'oppo_www'; // database name
$siteConf['dsn']['www']['writer'] = "MySQL://oppo_www:%cNK1C******Y82_0Q8Qg7nL@***.***.*.82:33306/{$dbname['www']}/utf8/false"; 
$siteConf['dsn']['www']['reader'] = $siteConf['dsn']['www']['writer'];
//$siteConf['dbcharset'] = 'utf8';
?>


#3 有了源码，有了配置文件，有时候有些厚脸皮的管理员或开发人员会说，你照样影响不到的我的数据啊！
看了下OPPO在乌云上的一堆漏洞，你们对待安全问题的态度真的很差，大部分漏洞都置之不理的，你让那些白帽子们情何以堪？
其实我也担心你们针对的这个报告给予同样的态度，所以，我喝了瓶可乐，开始好好研究你们。
花了半天看源码，找了个小ＢＵＧ，总算拿到个ＳＨＥＬＬ。

0.jpg


#4 更多漏洞利用
邮件配置内容：
WooYun: WEIPHONE威锋网任意用户密码修改 直探700万用户数据
结合这个漏洞，可以让你找回任意用户的密码！

// 邮件服务器配置
$siteConf['mailer'] = array(
	"smtp_host" => "mail.oppo.com", 
	"smtp_port" => "9988", 
	"smtp_user" => "getpass@oppo.com", 
	"smtp_pass" => "ge***88", 
	"smtp_mail" => "support@oppo.com"
);
$siteConf['mailer'] = array(
        "smtp_host" => "121.12.164.116",
        "smtp_port" => "9988",
        "smtp_user" => "register",
        "smtp_pass" => "oppo*******988",
        "smtp_mail" => "register@oppo.com"
);


漏洞证明：

#5 血淋淋的内幕揭露
~! 用户密码明文存储

1.jpg


~! 记录用户的登录行为，而且记录用户的明文密码 (上千万的记录，5张表)

oppo_login_history.jpg


3.jpg


~! 接近2000万的记住信息,IMEI信息

4.jpg


修复方案：

#1 针对安全问题的态度。
#2 运维缺陷，安全意识普及。

版权声明：转载请注明来源 猪猪侠@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2013-07-24 09:47

厂商回复：

非常感谢，相关历史数据已经清理！全力修复漏洞中...

最新状态：

暂无