漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-046610
漏洞标题：大数据时代的数据云安全风险（信息泄露）
相关厂商：互联网
漏洞作者： 啦绯哥
提交时间：2013-12-21 14:05
修复时间：2014-02-04 14:06
公开时间：2014-02-04 14:06
漏洞类型：用户资料大量泄漏
危害等级：高
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-21： 细节已通知厂商并且等待厂商处理中
2013-12-26： 厂商已经确认，细节仅向厂商公开
2014-01-05： 细节向核心白帽子及相关领域专家公开
2014-01-15： 细节向普通白帽子公开
2014-01-25： 细节向实习白帽子公开
2014-02-04： 细节向公众公开
简要描述：
半夜梦中醒来，想到某前辈的一个事情有感而发，加上前阵子ASRC某妹子问我到底是不是个白帽子，这些话一直在我脑中回荡，考虑到有些事情，还是把问题抛出来，希望大型互联网公司暂时没做好这方面防御措施的，能在此洞公布时，有所行动。
同时这里可能会触及某些人的利益，在这里表示抱歉。
此漏洞不算技术安全技术漏洞，请各位看到误碰水!
感谢辛勤的审核人员（由于考虑此事较为严重，故没有在主题和描述中细化问题，请谅解）。
详细说明：
我们看到一个互联网已经下载的链接
http://120.31.133.202/226/xxxxx.tar
在帖中看到文件很大，估计前辈肯定会使用下载工具，于是打开国内两大主流离线工具：迅雷和旋风，分别在2个地方都进行资源下载，最终发现资源在旋风中仍然存在，具体原因我就不解释了，在漏洞证明中附有2张简单截图。
据测试，迅雷离线会在短期内删除不热门的离线下载好的资源，而旋风不会，几个月前离线下载的资源仍然会保存在上面，估计此漏洞一出，旋风应该会对产品做小幅调整，这个能节省多少存储资源可想而知。。。
发布此漏洞有二个目的：
1、首先感谢审核人员，你们辛苦了，请有空把猪猪侠那个帖子的url打下码；
2、提醒大型互联网公司，重视用户隐私，做好全方位的安全防范，对于提供基本web访问的这种服务器，完全可以把离线下载的服务器IP给封杀掉，这方面通过上次反馈的问题，阿里已经在做了；
漏洞证明：
修复方案：
与漏洞证明中的单位协调，希望能解决。
版权声明：转载请注明来源 啦绯哥@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2013-12-26 08:16
厂商回复：
CNVD确认并复现所述情况，对于后续数据情况还有待确认，时间较为紧张，正在进一步分析。
最新状态：
暂无