WooYun.org

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0145300

漏洞标题：36氪一次安全测试(涉及多个内部系统)

相关厂商：36氪科技博客

漏洞作者： 爱上平顶山

提交时间：2015-10-08 12:23

修复时间：2015-11-22 12:42

公开时间：2015-11-22 12:42

漏洞类型：系统/服务运维配置不当

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏

分享漏洞：

漏洞详情

披露状态：

2015-10-08： 细节已通知厂商并且等待厂商处理中
2015-10-08： 厂商已经确认，细节仅向厂商公开
2015-10-18： 细节向核心白帽子及相关领域专家公开
2015-10-28： 细节向普通白帽子公开
2015-11-07： 细节向实习白帽子公开
2015-11-22： 细节向公众公开

简要描述：

...

详细说明：

Hi，all，
    近期总有人在恶意尝试咱们员工的邮箱密码。请大家要注意保护好自己的邮箱，一旦被人攻入，后果可能非常严重。尤其是合伙人、人力、财务、技术部的同学，要特别小心。在此，我给大家一些能有效提升安全性的小技巧，也欢迎大家贡献其他好点子。安全都来没小事儿，需要大伙齐上阵。
1、在可信的主机上使用邮箱。避免在机场、网吧的公用主机上使用。
2、在可信的网络环境中使用邮箱。避免使用商场、公交的免费wifi或蹭网。
3、使用相当复杂的密码，例如我使用密码会形如：6^5qaXQr9G`tP。每个账号都是用不同的密码。
4、使用工具管理密码，比如KeePass、OnePass。但不要使用自带具有网络同步功能的密码管理工具。
5、周期性的变更密码
6、对于QQ邮箱，绑定微信，启用微信动态密码+信任计算机的方式

张竞择
投融资服务  项目经理
手机：186****531
微信：sinozhang****
Email:zhangjingze@36kr.com
密码：if********1

漏洞证明：

修复方案：

版权声明：转载请注明来源 爱上平顶山@乌云

漏洞回应