新浪微博用户明文密码泄露。。明文。。

漏洞概要

缺陷编号:WooYun-2013-019524

漏洞标题:新浪微博用户明文密码泄露。。明文。。

相关厂商:新浪微博

漏洞作者:fox

提交时间:2013-03-04 19:54

公开时间:2013-04-18 19:55

漏洞类型:敏感信息泄露

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2013-03-04: 细节已通知厂商并且等待厂商处理中
2013-03-06: 厂商已经确认,细节仅向厂商公开
2013-03-16: 细节向核心白帽子及相关领域专家公开
2013-03-26: 细节向普通白帽子公开
2013-04-05: 细节向实习白帽子公开
2013-04-18: 细节向公众公开

简要描述:

新浪微博用户明文密码泄露

详细说明:

新浪微博手机版泄露用户登陆状态继而还会露出明文用户名首先, 漏洞的起源见 WooYun: 新浪微博认证信息gsid永不过期…新浪的回复居然是漏洞已过时, 而我亲测有效去google, baidu,搜索 gsid site:weibo.cn 或 gsid site:weibo.com可以找到大量的gsid,经过测试, 大概有一半左右是有效的登陆后,自然可以以该用户身份进行发微博、关注、取消关注等操作但是由于没有原密码, 无法进行改密等操作而当我访问

的时候,奇迹出现了,居然爆出了明文的密码。情何以堪啊!只要通过搜索引擎找到gsid,或者社工的方式让朋友把正在手机浏览的url发给自己得到gsid,就可以搞到密码。由于当时没有在电脑前, 爆密码的测试环境是中国移动GPRS网络,HTC G18, 自带浏览器或UC浏览器均有效。而在我回到宿舍后复测时却没有复现, 不过即使没有得到密码, 也可以进行很多操作了。

漏洞证明:

搜索gsid site:weibo.cn 或gsid site:weibo.com等关键词

通过谷歌,我们找到一个vdisk的链接

访问

成功登陆进别人账号了

同时,给出两个爆出明文密码的图

修复方案:

gsid过期,或不要放在url里密码莫非是明文存的?不要这样吧。。来个礼物吧

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:5

确认时间:2013-03-06 20:43

厂商回复:

感谢关注新浪安全,由于移动网关接入特性,不是很好支持cookie,有些用户不明白gsid 传输方式,分享出去,导致问题产生。至于明文密码泄露问题是不存在的,是由于临时调试接口产生的。
已经通知研发人员进行处理了。

最新状态:

暂无

评价

  1. 2010-01-01 00:00 TituX 白帽子 | Rank:19 漏洞数:3)

    沙发 强势关注

  2. 2010-01-01 00:00 LittlePig 白帽子 | Rank:5 漏洞数:2)

    还是明文的?!

  3. 2010-01-01 00:00 tpu01yzx 白帽子 | Rank:40 漏洞数:5)

    求明文

  4. 2010-01-01 00:00 廷廷 白帽子 | Rank:0 漏洞数:0)

    围观!!

  5. 2010-01-01 00:00 围剿 白帽子 | Rank:5 漏洞数:2)

    明文?

  6. 2010-01-01 00:00 G8dSnow 白帽子 | Rank:21 漏洞数:5)

    应该是早期业务逻辑设计的不合理导致的,唉,所以产品的初期设计非常重要,老是想着快上线快编码,太急功近利,往往后期会倒霉

  7. 2010-01-01 00:00 疯狗 白帽子 | Rank:22 漏洞数:2)

    这个。。明文,名副其实?官方在哪里?

  8. 2010-01-01 00:00 fox 白帽子 | Rank:147 漏洞数:15)

    @G8dSnow 是通过那个gsid的接口显示出来的, 怀疑是通过gsid计算出来的,因为我输入一个旧密码的gsid,显示的就是旧密码

  9. 2010-01-01 00:00 tpu01yzx 白帽子 | Rank:40 漏洞数:5)

    @fox 真相在哪里?怎么算?gsid的接口?

  10. 2010-01-01 00:00 Passer_by 白帽子 | Rank:94 漏洞数:18)

    你这是要等着切jj啊!!!

  11. 2010-01-01 00:00 fox 白帽子 | Rank:147 漏洞数:15)

    @tpu01yzx 其实爆出明文的接口不是很稳定, 我是用手机测试时,页面直接返回了gsid对应的明文。 我猜测搞不好是新浪程序员在网页运行的时候打的调试信息呢。
    不过gsid窃取用户登陆状态倒是可以轻易复现

  12. 2010-01-01 00:00 tpu01yzx 白帽子 | Rank:40 漏洞数:5)

    @fox 接口在哪里?赶紧去脱裤刷粉

  13. 2010-01-01 00:00 廷廷 白帽子 | Rank:0 漏洞数:0)

    这是要逆天啊,要是能定向破解就好了