漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-068149
漏洞标题：猎豹移动一个员工账号泄漏引发的内部用户数据泄漏
相关厂商：金山软件集团
漏洞作者： 我是小号
提交时间：2014-07-11 09:47
修复时间：2014-08-25 09:48
公开时间：2014-08-25 09:48
漏洞类型：内部绝密信息泄漏
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-11： 细节已通知厂商并且等待厂商处理中
2014-07-11： 厂商已经确认，细节仅向厂商公开
2014-07-21： 细节向核心白帽子及相关领域专家公开
2014-07-31： 细节向普通白帽子公开
2014-08-10： 细节向实习白帽子公开
2014-08-25： 细节向公众公开
简要描述：
社工审计--猎豹移动一个员工账号泄漏引发的大规模用户数据泄漏
详细说明：
#1.大数据收集
金山猎豹论坛/星仔，获取到其QQ号，进行大数据搜索，发现他在已知的泄漏密码中使用同一个密码（即QQ号码），反应出该人安全意识十分薄弱。
#2.尝试登录
由于该人是猎豹移动的员工，首先我就把目光放在了金山旗下的快盘上，尝试用已经获取到的账户密码登录，结果显而易见，登录成功！
#3.敏感信息收集
可以基本确定该为员工是猎豹移动市场部专员，很明显他掌握的应该是一些和用户有关的敏感信息，而不会是猎豹移动旗下产品的源代码或者是开发计划，所以我们就往这个方向来查看是否有敏感信息被存储在金山快盘上。
#4.员工安全意识薄弱
该为员工把大量办公用的文件直接不加密码存储在了快盘上，导致一旦黑客能够进入他的网盘可以直接获取到大量猎豹移动有关的信息。
*这些用户信息泄漏也是很危险的一件事情吧？毕竟他们都是你们的管理组成员哦！
漏洞证明：
~!.大量猎豹WIFI，猎豹浏览器论坛版主个人信息泄露（住址+手机+微信号+QQ+身份证）
~!.大量猎豹免费WIFI发货名单泄漏
~!.某APP内测码大量泄漏
~!.猎豹免费WIFI论坛管理组真实姓名泄漏，为下一次社工攻击埋下隐患
~!.某重要FTP账户与口令泄露，可以直接控制服务器
~!.一些猎豹推广和营销计划大量泄漏（不截图了）
修复方案：
1.员工安全意识教育
2.定期修改密码
版权声明：转载请注明来源 我是小号@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2014-07-11 09:53
厂商回复：
入口点很小，但是影响很大。我们很重视，我们将尽快确认并进行相关风险的规避。
最新状态：
暂无