漏洞概要
关注数(24)
关注此漏洞
漏洞标题：网易某服务配置不当 导致2.2亿活跃用户敏感信息泄露
相关厂商：网易
提交时间：2013-11-26 13:46
修复时间：2014-01-10 13:47
公开时间：2014-01-10 13:47
漏洞类型：系统/服务运维配置不当
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
Tags标签：
无
漏洞详情
披露状态：
2013-11-26： 细节已通知厂商并且等待厂商处理中
2013-11-27： 厂商已经确认，细节仅向厂商公开
2013-12-07： 细节向核心白帽子及相关领域专家公开
2013-12-17： 细节向普通白帽子公开
2013-12-27： 细节向实习白帽子公开
2014-01-10： 细节向公众公开
简要描述：
本报告披露内容如下：
由于网易某服务配置不当，导致所有网易用户的敏感信息将遭受泄露风险，泄露的内容包括（用户邮箱名、用户最后活跃时间、用户IP地址、用户所处位置(精确至地级市)、用户喜好(看什么样的新闻，八卦、女性、体育或者股票)、用户访问习惯、用户使用的什么浏览器、浏览器版本、使用的什么操作系统、操作版本、系统语言信息、屏幕分辨率等等信息）。
由于没有一个通用的防御规则来保护好中间件配置信息、DNS信息、业务数据信息、用户信息、源码备份文件、版本管理工具信息、系统错误信息、日志信息和敏感地址信息(后台或测试地址)的泄露，攻击者可能会通过收集这些保护不足的数据，利用这些信息对系统或用户实施进一步的攻击。
详细说明：
#1 风险描述
多台服务器rsyncd服务可匿名访问
#2 隐私泄露描述
news_userpref，为活跃的1.2亿用户统计信息，这里只是开始
#3 2.2亿活跃用户列表
WC统计，2.19亿行，不重复
漏洞证明：
#4 更严重的隐私泄露
rsync 123.58.176.95::log88/230/
log88/230/下的目录分布如下：log88/dir.list
是的，126、163mail目录下，你每次什么时候，从哪里，用什么系统，什么浏览器，从哪里访问的163邮箱，都被记录了下来，具体记录信息如下：
服务器上记录的文件结构信息如下（这里仅用股票频道做演示），
说明网易所有用户每秒钟的活动记录都是能被公开下载得到的：
#5 再比如，你什么时候看过什么新闻（做大数据挖掘可以定向挖掘向你推送广告）
#6 你的喜好倾向，你的喜好都会被泄露(比如女性频道，仅仅举例……)
#7 对rsyncd服务器上的资源有可写权限
在本地修改rsyncarticle.sh后，加入反弹后门脚本，再上传，即可获取到网易集中日志管理系统hadoop集群系统权限
修复方案：
#1 网络边界需要认真对待。
#2 杜绝为了方便而造成的不必要的信息泄露。
#3 安全是一个整体，保证安全不在于强大的地方有多强大，而在于真正薄弱的地方在哪里。
版权声明：转载请注明来源 猪猪侠@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2013-11-27 18:38
厂商回复：
感谢您对网易的关注，我们的确发现有漏洞存在，数据为近期用户日常的访问记录日志，并未对用户的数据安全造成重大危害，目前漏洞已经修复。
最新状态：
暂无
