漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0123151
漏洞标题：驴妈妈内部聊天工具弱口令导致可登陆CEO王小松账号
相关厂商：驴妈妈旅游网
漏洞作者： 路人甲
提交时间：2015-06-27 23:00
修复时间：2015-08-13 08:52
公开时间：2015-08-13 08:52
漏洞类型：内部绝密信息泄漏
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-27： 细节已通知厂商并且等待厂商处理中
2015-06-29： 厂商已经确认，细节仅向厂商公开
2015-07-09： 细节向核心白帽子及相关领域专家公开
2015-07-19： 细节向普通白帽子公开
2015-07-29： 细节向实习白帽子公开
2015-08-13： 细节向公众公开
简要描述：
这内部聊天工具应该告诉大家改密码的啊~~登了王总的号还发现走关系进公司的等等等！具体就不一一描述。
详细说明：
1# http://ekp.joyu.com/ 工作台，账号为姓名全拼，密码1
可登陆的公司主要人员账号 集团财务总监、总裁助理兼集团市场部总经理、集团副总裁兼驴妈妈CEO等，具体姓名请对号入座。
该工作平台对于领导职务来说是有审批权限的，让别人乱审批后果可想而知。
2# kk.joyu.com 5200 内部聊天工具的服务器设置，KK聊天软件通过工作台二维码可扫描安装，然后登陆以上主要人员KK可查看聊天记录，坑爹的是异地登陆聊天记录也保存了，群组记录也是。
危害：比如员工聊天之间泄露的账号密码，比如领导之间的恩怨情仇等等。
漏洞证明：
王小松的界面：
总裁助理和财务总监的：
修复方案：
改密码。
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-06-29 08:51
厂商回复：
谢谢
最新状态：
暂无