漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0168796
漏洞标题：走秀网（信息泄露&任意密码重置&源码泄露）
相关厂商：走秀网
漏洞作者： V1ct0r
提交时间：2016-01-10 09:59
修复时间：2016-02-22 16:48
公开时间：2016-02-22 16:48
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-01-10： 细节已通知厂商并且等待厂商处理中
2016-01-11： 厂商已经确认，细节仅向厂商公开
2016-01-21： 细节向核心白帽子及相关领域专家公开
2016-01-31： 细节向普通白帽子公开
2016-02-10： 细节向实习白帽子公开
2016-02-22： 细节向公众公开
简要描述：
工作人员邮箱、电话、域名记录信息泄露&任意账户密码重置&网站手机版页面源码泄露
-o(╯□╰)o 赶紧交了 免得手痒 复习高数 明天就考试咯呀
详细说明：
#1.信息泄露
先从这个开始说吧，这是源于一个早期的遗留代码，但其暴露的一些信息依然是可用的。
Google Code：https://code.google.com/u/104096235605441642429/
当时还在源码里面看见了一个Gmail
然后想登陆进去看看的时候，发现不在常用地登陆google会要求你输入预留的验证手机号，恰巧在另一个code里面发现了手机号信息
当然，在其他文件中也找到了一些手机号码：
猜到了，写代码的人会把自己的号码也放进去然后结合google提示的后两位手机号，正确的登陆进了邮箱，发现邮箱内的内容比较残旧了应该是以前用于检测服务是否正常运行的，并将情况发送给各个人员，并没有什么太多其他的有用信息。
然后继续看了看其他文件，发现了hosts文件
虽然时间比较久了，但是这里面的hosts基本都还是正确的。
#2.任意账户密码重置
http://wooyun.org/bugs/wooyun-2015-0159345 这是我上次提交的
这两天去看了看
http://m.xiu.com/myxiu/retrieve_phone.html
嗯！修复了啊，重写了代码还加上了语音验证码（使用语音验证码处缺少验证码提交的次数限制，可爆破，虽然此处需用户接听电话才可）～
可是...令我万万没想到的是...
http://m.xiu.com/myxiu/retrieve_phone.html（新的）
http://m.xiu.com/myxiu/retrieve_password.html（旧的）
在已有了重写的找回密码的页面之时，竟然旧的依然存在，没有进行删除...
而且利用上次发现的方法依然可以重置任意用户密码...让人哭笑不得
漏洞证明：
#3.网站手机版页面源码泄露
code地址：https://github.com/frontEnd-fucker/mobileXiu/tree/22bf2d3e0029ac972e85ca5c47ad67a973aec87e
估计应该是位今年离职的员工留下的backup？
泄露了整站的源码危险不言而喻。
修复方案：
该删的还是得删！
版权声明：转载请注明来源 V1ct0r@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2016-01-11 09:51
厂商回复：
感谢你对走秀网安全的关注
最新状态：
暂无