漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0192579
漏洞标题：乐都游戏某核心系统爆破弱口令可控大量游戏(热血三国/动漫英雄传等知名游戏)
相关厂商：ledu.com
漏洞作者： 小龙
提交时间：2016-04-06 13:10
修复时间：2016-05-22 15:00
公开时间：2016-05-22 15:00
漏洞类型：后台弱口令
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-04-06： 细节已通知厂商并且等待厂商处理中
2016-04-07： 厂商已经确认，细节仅向厂商公开
2016-04-17： 细节向核心白帽子及相关领域专家公开
2016-04-27： 细节向普通白帽子公开
2016-05-07： 细节向实习白帽子公开
2016-05-22： 细节向公众公开
简要描述：
乐都网以高质运营精品游戏为业内外称道，旗下主力游戏包括：《热血三国2》、《热血三国》、《魔晶帝国》、《动漫英雄传》、《大侠传》、《烈火战神》，《烈焰》，《街机三国》，《将神》，《楚留香新传》、《新热血三国》、《神仙道》、《天地英雄》、《降龙十八掌》、《南帝北丐》、《墨攻》《工人物语OL》、《冒险契约 》、《侠武英雄传》等众多高质网页游戏，在体验简单注册、流畅画质之余，更能体会每款游戏中的不同天地，其中更有众多休闲小游戏伴你度过悠闲时光。
详细说明：
无聊逛淘宝。发现热血三国挺火的。无奈想试试。。
发现游戏为 乐都网比较靠前
有验证码，没校验。。
22 chenchen 302 false false 700
274 lichao 302 false false 682
429 liuying 302 false false 683
465 lixue 302 false false 681
653 wangbing 302 false false 700
950 youxia 302 false false 682
1009 zhanghao 302 false false 700
爆破出7枚弱口令
拿着密码屁颠屁颠的登陆进去第一件事就是看看 热血三国2
发现只能模糊查询耶。。。
功能好多不完整
但是登录到lixue这
我眼睛亮了。
旗下游戏基本都可以搞了。
不搞了。。大家懂得
lixue和wangbing的权限都很大。
各种充值信息哦。
漏洞证明：
11
修复方案：
11
版权声明：转载请注明来源 小龙@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2016-04-07 14:50
厂商回复：
验证码未校验的情况，给下细节，谢谢
最新状态：
暂无