漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0111617
漏洞标题：拉勾网百万简历泄漏风险(包括手机、邮件、应聘职位等信息、还可冒充企业身份筛选简历、发面试通知等)
相关厂商：lagou.com
漏洞作者： sadn3s
提交时间：2015-05-04 10:51
修复时间：2015-06-18 13:08
公开时间：2015-06-18 13:08
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-04： 细节已通知厂商并且等待厂商处理中
2015-05-04： 厂商已经确认，细节仅向厂商公开
2015-05-14： 细节向核心白帽子及相关领域专家公开
2015-05-24： 细节向普通白帽子公开
2015-06-03： 细节向实习白帽子公开
2015-06-18： 细节向公众公开
简要描述：
真的快没钱吃饭了，过了招聘季工作不好找了，求推荐份工作！其它漏洞没力气发了。
------------------
顺便发个广告，管理员手下留情
PyDbg，强大的web调试工具
主要模块：
http分析工具 (构建中)
http客户端 (稳定版)
mitm中间人代理 (测试版)
autoit功能的自动化工具 (稳定版)
邮箱客户端 (测试版)
adsl拨号库 (稳定版)
分布式代理客户端，服务端 (稳定版)
分布式任务客户端，服务端 (构建中)
桌面仿真客户端，服务端 (构建中)
...
特色：
http分析工具 跨平台，可二次编程等
http客户端 底层socket，自带socks代理，超时重试，自动解码，自定义报文大小，post字节自动计算等
邮箱客户端 直接调用web api收发邮件（现在pop功能都需要手机验证）
...
还缺什么功能pm我，网站建设中，敬请期待测试版
有在研究逻辑漏洞防御策略的也可pm我
详细说明：
注册一个企业账户，发布一个职位，然后看到有２个人投了简历：
打开简历，点转发：
抓包：
改简历id，话说这是get：
去邮箱看到有２封邮件：
第一封是我发布职位里的没错：
第二封跪了：
看看能打开吗：
换个人：
查看联系方式：
手机，邮箱出来了：
进一步操作，可以看到应聘职位：
经过自己的账号测试，简历操作都会真实改动。
随机抽查：
使用pydbg这种工具可瞬间建立离线简历库，还好我是良民- -，有没有信息贩子路过你们好好查查吧。
漏洞证明：
修复方案：
版权声明：转载请注明来源 sadn3s@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-05-04 13:08
厂商回复：
非常感谢提供该漏洞，我们正在处理~
最新状态：
2015-05-04：你好，非常感谢您提供这个漏洞的信息，由于上周四假期前临时上线，导致出现了这个安全问题，我们已经在第一时间修复，我们会进一步检查审核安全问题，再次感谢～