漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-046822
漏洞标题：斗将魂某重要系统后台弱口令导致大量服务器运营信息泄露危害可向任意玩家发送信息
相关厂商：福建三五九五网络科技有限公司
漏洞作者： niliu
提交时间：2013-12-24 19:26
修复时间：2014-02-07 19:27
公开时间：2014-02-07 19:27
漏洞类型：后台弱口令
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-24： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-02-07： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
斗将魂游戏管理系统运维不当，导致数千个联运商上万服务器信息泄露，可查询任意用户信息，联运商用户充值信息，各种数据泄露。在线玩家试试数据监控，玩家ip禁封，玩家角色信息查询。
礼包，道具生成，帮派，公会管理，等等。
更甚至，可以对所有玩家或单一玩家发送邮件。如果被不法分子利用进行诈骗或钓鱼后果不敢想象！
还可以对任意服务区发布公告！
详细说明：
无意路过一个后台，
先看下斗将魂开的服吧
上千个服，玩家应该少不了
后台尝试admin、admin失败，但[马赛克]、[马赛克]成功进入，管理员权限。
登陆上来，看看功能还真是强大啊
上万服务器信息随意查询
登录行为分析 * 玩家任务流失监控 * 礼包查询 * 玩家留存率 * 玩家分钟流失率 * 服务器运营信息 * 礼包生成 * 物品道具申请 * 物品道具审批 * 帮派管理 * 公会管理 * 财富异常玩家 * 开服申请 等等...
可修改删除
玩家信息查询，禁封IP等等
最严重的是可以对任意玩家或者所有玩家发送邮件，如果被恶意利用，进行钓鱼或诈骗后果还是很严重的！
还可以在任意服务区发布公告，禁封账号，玩家禁言等等。
漏洞证明：
上面
修复方案：
功能这么强大的一个后台禁止外网访问吧，或者密码强壮一点，登陆加个验证码。
求个礼物 ：）
版权声明：转载请注明来源 niliu@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝