背篓科技某业务配置不当导致大量内部信息泄露

漏洞概要

缺陷编号:WooYun-2015-0129714

漏洞标题:背篓科技某业务配置不当导致大量内部信息泄露

相关厂商:蜜淘网

漏洞作者:ago

提交时间:2015-07-27 16:52

公开时间:2015-09-11 10:52

漏洞类型:系统/服务运维配置不当

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2015-07-27: 细节已通知厂商并且等待厂商处理中
2015-07-28: 厂商已经确认,细节仅向厂商公开
2015-08-07: 细节向核心白帽子及相关领域专家公开
2015-08-17: 细节向普通白帽子公开
2015-08-27: 细节向实习白帽子公开
2015-09-11: 细节向公众公开

简要描述:

蜜淘网某业务配置不当导致大量内部信息泄露

详细说明:

入手点:

结合社工库:朱佳鹏 [email protected] [email protected] zhu19920302

改密都找他,权限蛮大的,通讯录

漏洞证明:

然后找个常用密码爆破试试[+] Login successful: [email protected] metao800说了不让用这个密码但是还是有。登录看看

很多客户信息还没有登录过VPN的同学:VPN账号=自己姓名的拼音VPN默认密码是metao800.wiki 账号是自己的姓名拼音wiki密码在自己邮箱找一下如果邮箱里面没有wiki密码,尝试点击wiki上面的找回密码按钮,邮箱重置密码会发送到自己的邮箱。如果邮箱未收到任何wiki信息,请联系庞国平开通。http://auth.beilou.com/passport/submitLogin.do

修复方案:

改密,加强安全意识

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2015-07-2810:51

厂商回复:

感谢ago提供该漏洞,相关邮箱密码已修改。至于员工邮箱密码,确实不好保证每个人使用的都是没有出现在社工库里的密码。

最新状态:

暂无

评价

  1. 2010-01-01 00:00 1c3z 白帽子 | Rank:190 漏洞数:21)

    简直6