漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-040654
漏洞标题：社工酷伴网导致某后台沦陷
相关厂商：酷伴网
漏洞作者： Stefan
提交时间：2013-10-22 17:01
修复时间：2013-12-06 17:02
公开时间：2013-12-06 17:02
漏洞类型：成功的入侵事件
危害等级：高
自评Rank：15
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-22： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-12-06： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
可以通过几种社工裤拿到各超级管理员的密码
详细说明：
因为想查一个妹子的手机号，随便google了一下她的ID就到了51kuban.com。然后就有了下面这些东西了。随手记，比较乱。麻烦各位凑合着看吧。
whois查询得到如下数据：
KevinHE
Lincong Internet Ltd. Customers
blhe@vip.sina.com
CN shang hai shang hai 2109, B, 3064, NZS Road 200063
tel: 86 13916938386
fax: 86 02162226818
Status :
clientDeleteProhibited
clientTransferProhibited
Domain Name Server :
f1g1ns2.dnspod.net
f1g1ns1.dnspod.net
Registration Date : 2009-02-28 00:38:27
Expiration Date : 2014-02-28 00:38:27
同IP网站：www.oxford.com.cn
弱密码： temp temp
信息：kevin@oxford.com.cn QQ mail
帐号：keensoldier
重置方式：
将验证码发送到密保邮箱****@qq.com
通IP网站：
中间页www.zhongjianye.com博主
微博：www.weibo.com/blhe
Kevin贺宝林 魔酷网 临时CEO! 上海林聪网络科技有限公司CEO
分析其信息：
blhe@vip.sina.com
CN shang hai shang hai 2109, B, 3064, NZS Road 200063
tel: 86 13916938386
fax: 86 02162226818
Kevin
请优先使用email：blhe@51kuban.com
QQ: 22382336
手机：13916938386
csnd的数据：keensoldier # y39**vs2 # blhe@vip.sina.com
google得到后台：http://love.51kuban.com/index.php/default/index
keensoldier 配合密码登录不对。
分析可能的用户名：blhe keensoldier keen soldier Kevin
匹配到：keen 可以登录了。
看了其他几个超级管理员的资料，几个库里找了一下。都在，汗……
查到妹子手机号，就退了。没继续。几十万的用户，你们管理员们还是用心点吧。
漏洞证明：
拿到妹子手机号……
麻烦你们再修改下自己的密码吧。今天看keen的密码修改了，但是其他的还有能够登录的。
没脱裤子，无意冒犯。
修复方案：
你们都懂的
版权声明：转载请注明来源 Stefan@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝