漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-054830
漏洞标题：小数据系列#酷房网运维不当导致全国经纪人数据存在泄露风险
相关厂商：koofang.com
漏洞作者： 小威
提交时间：2014-03-28 16:44
修复时间：2014-04-02 16:44
公开时间：2014-04-02 16:44
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：16
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-03-28： 细节已通知厂商并且等待厂商处理中
2014-04-02： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
酷房网最后一个洞子，没Rank再也不挖了~
详细说明：
1.论坛管理员发帖：
上图提到，北京的经纪人默认密码都是123456的，肯定有那么些安全意识差的...
2.通过搜集，得到一些比较活跃的发帖用户：
3.对其中一用户爆破后发现是管理员的马甲，切换马甲，顺利登录管理员admin账户！
但是得到论坛管理权限需要输入管理员的密码，
测试弱口令对管理员无效。尔后继续爆破！
成功登录论坛管理账户！
4.备份数据~~
（虽然帮你们备份了一下，但是放心没有下载数据库！！裤子还不如rank有用！）
漏洞证明：
1.论坛管理员发帖：
上图提到，北京的经纪人默认密码都是123456的，肯定有那么些安全意识差的...
2.通过搜集，得到一些比较活跃的发帖用户：
3.对其中一用户爆破后发现是管理员的马甲，切换马甲，顺利登录管理员admin账户！
但是得到论坛管理权限需要输入管理员的密码，
测试弱口令对管理员无效。尔后继续爆破！
成功登录论坛管理账户！
4.备份数据~~
（虽然帮你们备份了一下，但是放心没有下载数据库！！裤子还不如rank有用！）
修复方案：
改，必须得改！
版权声明：转载请注明来源 小威@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-04-02 16:44
厂商回复：
最新状态：
暂无