网站地图 | RSS订阅 | 登陆 李洁博客 - 趁年轻,努力吧!
你的位置:首页 » 互联网络 » 正文

蘑菇街又暴安全漏洞, 用户敏感信息再遭泄露

2015-11-13 9:26:37 | 作者:Asian Data Center | 5个评论 | 人浏览

乌云网曾于2014年10月份左右报道过《女性购物电商平台蘑菇街企业敏感信息泄露漏洞》,时隔刚好一年之后又暴出蘑菇街部分用户密码泄露漏洞,真心希望这些电商购物平台今后能够多为用户安全信息考虑,杜绝类似此类损害用户切身利益事件发生,以下为该漏洞详情.

漏洞概要

  1. 缺陷编号:WooYun-2015-143174

  2. 漏洞标题:蘑菇街部分用户密码泄露

  3. 相关厂商:蘑菇街

  4. 漏洞作者:pandas

  5. 提交时间:2015-09-24 13:54

  6. 公开时间:2015-11-08 14:36

  7. 漏洞类型:敏感信息泄露

  8. 危害等级:中

  9. 自评Rank:7

  10. 漏洞状态: 厂商已经确认

  11. 漏洞来源:http://www.wooyun.org.somehe.com

  12. Tags标签: 用户敏感信息泄漏

漏洞详情

披露状态

  1. 2015-09-24:细节已通知厂商并且等待厂商处理中

  2. 2015-09-24:厂商已经确认,细节仅向厂商公开

  3. 2015-10-04:细节向核心白帽子及相关领域专家公开

  4. 2015-10-14:细节向普通白帽子公开

  5. 2015-10-24:细节向实习白帽子公开

  6. 2015-11-08:细节向公众公开

简要描述

昨天玩CTF过程中无意发现利用某些搜索引擎可以搜到蘑菇街部分用户的信息,包括用户名、邮箱、密码hash等,因为不是很明白其中的原理,所以发到乌云来问下厂商这种问题的原因以及修复上有什么好的建议。

详细说明

搜索引擎推荐使用:baidu和360好搜,2个结果很好的互补,谷歌表示没有搜到结果。

关键词:

*****gt; string(32*****

部分截图


漏洞证明

密码是md5加密(有些怀疑,蘑菇街应该不仅仅是md5吧,连个salt都没),去到cmd5解密,随机破了几个尝试登录,效率还可以:

案例一

案例二

修复方案

我原先的猜想是某处json接口被搜索引擎爬到了,导致敏感信息的泄露。但是令我奇怪的是360的快照是9-10号的,源码中发现

<div id="cOuTEr"><pre class="debug"><small>array</small><span>(45)</span>

貌似是程序猿自己debug调试导致的?

Respect for the original creation of the hard, the author of : pandas/WooYun  In this thanks!


  • 本文来自:李洁博客,转载请保留出处!欢迎发表您的评论
  • 相关标签:
  • 已有5位网友发表了一针见血的评论,你还等什么?

    必填

    选填

    选填

    记住我,下次回复时不用重新输入个人信息

    ◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

    相关推荐