漏洞概要
关注数(24)
关注此漏洞
漏洞标题：对PPTV某接口的一次大规模撞库：妈妈再也不用担心我看电视没会员了
提交时间：2015-05-05 06:56
修复时间：2015-06-19 11:10
公开时间：2015-06-19 11:10
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
Tags标签：
无
漏洞详情
披露状态：
2015-05-05： 细节已通知厂商并且等待厂商处理中
2015-05-05： 厂商已经确认，细节仅向厂商公开
2015-05-15： 细节向核心白帽子及相关领域专家公开
2015-05-25： 细节向普通白帽子公开
2015-06-04： 细节向实习白帽子公开
2015-06-19： 细节向公众公开
简要描述：
挖洞最苦逼的事莫过于编辑了半天的漏洞最后发现竟然不存在。。
详细说明：
前面提交的几个撞库洞确实都已经fixed了，但是又发现了一个接口：http://passport.aplusapi.pptv.com/regandlogin_pay_vip/registerandlogin.html?error=%E7%94%A8%E6%88%B7%E5%90%8D%E4%B8%BA%E7%A9%BA%E6%88%96%E8%80%85%E7%94%A8%E6%88%B7%E4%B8%8D%E5%AD%98%E5%9C%A8&username=bklm1&action=login&jscall=redirect
这个接口是一个支付登陆的接口，可以看到登陆的地方没有任何限制
本来以为是和主站的接口通用的是抓不到包的，但是随便抓了一下发现竟然可以抓到，而且用户名和密码全部都是明文传输的
接下来就开始撞库，因为PPTV是大网站，刚好手上又有一个新字典，也就产生了一个想法：进行一次大规模撞库。。因为中途burp卡死了，没撞完，粗略算了一下撞出了21569的用户，撞库失败与成功比例大概是1:14
我们撞库出来的用户在主站直接登陆就好了。。因为PPTV是大网站，所以这里撞库的质量和成功率都比较高，如果继续下去危害如何就不多说了，另外说明一下因为是撞库质量高，所以这里面有不少是vip用户哦~选了几个看了一下吓哭了有木有。。
帐号：243080777@qq.com 密码：
：
帐号：xinshidai1988 密码：
：
账号：wnsxhzwm 密码：
（这个只有vip，渣渣。。）：
账号：3119584246 密码
（这个也是渣渣。。）：
我这个字典是41W多点，撞到不到30W就卡死了（坑爹burp经常卡死），然后我结果保存了一下就没继续撞下去
如果有大牛拿个几千W的字典分割一下然后放到服务器去跑，再获取会员账号出来拿去某宝卖的话绝对是2015发家致富好商机啊- -
漏洞证明：
如上咯，放出一小部分撞库成功的用户名和密码证明咯：
修复方案：
说好的礼物都一季了还没收到。。不求礼物了求点高rank行不。。
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2015-05-05 11:09
厂商回复：
谢谢关注和提供，正在修复中。其实您没必要把证明贴那么长。
最新状态：
暂无
