漏洞概要
关注数(24)
关注此漏洞
漏洞标题：搜狐汽车某后台1508个弱口令（可任意修改线上汽车价格）
相关厂商：搜狐
提交时间：2015-05-29 11:21
修复时间：2015-07-15 00:12
公开时间：2015-07-15 00:12
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
Tags标签：
无
漏洞详情
披露状态：
2015-05-29： 细节已通知厂商并且等待厂商处理中
2015-05-31： 厂商已经确认，细节仅向厂商公开
2015-06-10： 细节向核心白帽子及相关领域专家公开
2015-06-20： 细节向普通白帽子公开
2015-06-30： 细节向实习白帽子公开
2015-07-15： 细节向公众公开
简要描述：
感觉这个问题属于大公司诟病了！之前遇到的案例也很多，这里详细分析下这种问题。
简单的检测下，竟然检测出了搜狐这个后台1508个弱口令，而且各个都是权限和功能都很高！
详细说明：
1 这是搜狐汽车的很随意的一个页面：http://dealer.auto.sohu.com/bat69210/index.html
2 通过右上角的商家登录入口，找到了商家后台：http://dealer.auto.sohu.com/ ，登录没有页面验证码！
通过测试和分析，发现商家后台有很多帐号的用户名是以 bat+数字编号 构成的
3 然后先对url http://dealer.auto.sohu.com/bat69210/index.html 中的数字编号位置进行遍历，收集到了大量的登录帐号。
由于后台登录是没有验证码的，所以可以对后台进行爆破，以大量的帐号和固定的密码去爆破！
4 成功的爆破出了大量的弱口令，这里随便找一个证明下危害！
帐号和密码：bat78601 123456a
可以看到后台权限和功能很大！
5 可以随意修改商家信息，修改客服电话号码，查看并修改销售的信息！
6 可以任意发布和修改文章。
7 最牛逼的是可以直接修改线上的车价啊！
设想下，随便把一个100W的车给修改成10W，那影响得有多大！何况还有1508个帐号的后台呢。。。
漏洞证明：
1508个弱口令
以下7个帐号密码均为123456a
以下2个帐号密码均为a123456
以下1499个帐号密码均为123456
修复方案：
1 修改那堆弱口令帐号的密码
2 登录位置添加页面验证码
3 这种商家后台最好加个手机二次验证，或者放到vpn里吧
4 从结果分析，123456应该是这个后台的初始默认的密码，大量的弱口令高权限帐号，若被不法分子利用，造成的影响和资金损失，真心无法估计啊！
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2015-05-31 00:11
厂商回复：
感谢支持。
最新状态：
暂无
