当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0152750

漏洞标题:优米网某系统设计缺陷可被暴力破解登陆用户账户

相关厂商:优米网

漏洞作者: Ysql404

提交时间:2015-11-11 00:01

修复时间:2015-11-23 20:54

公开时间:2015-11-23 20:54

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:10

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-11-11: 细节已通知厂商并且等待厂商处理中
2015-11-23: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

麦兜:麻烦你,鱼丸粗面
校长:没有粗面
麦兜:是吗?来碗鱼丸河粉吧
校长:没有鱼丸
麦兜:是吗?那牛肚粗面把
校长:没有粗面
麦兜:那要鱼丸油面吧
校长:没有鱼丸
麦兜:怎么什么都没有啊?那要墨鱼丸粗面吧
校长:没有粗面
麦兜:又卖完了?麻烦你来碗鱼丸米线
校长:没有鱼丸
旁:麦兜啊,他们的鱼丸跟粗面卖光了,就是所有跟鱼丸和粗面的配搭都没了
麦兜:哦~~!没有内些搭配啊……麻烦你只要鱼丸
校长:没有鱼丸
麦兜:那粗面呢?
校长:没有粗面
………………

详细说明:

passport.youmi.cn 该站虽然对短时间内登录IP做了限制,但仍可以进行暴力破解;
已破解成功的用户,如图:

QQ图片20151108103328.jpg


QQ图片20151108103406.png


19	wanglei	        200	false	false	1237	
14 zhangjing 200 false false 1236
31 zhangyan 200 false false 1226
20 liuyang 200 false false 1224
27 zhanglei 200 false false 1222
35 wangchao 200 false false 1220
21 wangyan 200 false false 1212
23 lijun 200 false false 1209

漏洞证明:

QQ图片20151108125119.png


QQ图片20151108125240.png


影响:可以通过该页面收集用户登录名,然后使用代理IP的方式进行批量破解,页面中可以看到哪些是钻石用户

QQ图片20151108125530.png


修复方案:

增加验证码

版权声明:转载请注明来源 Ysql404@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-11-23 20:54

厂商回复:

漏洞Rank:2 (WooYun评价)

最新状态:

暂无