DNSPod移动版本永久登陆Cookies未加密,密码明码。

漏洞概要

缺陷编号:WooYun-2012-015982

漏洞标题:DNSPod移动版本永久登陆Cookies未加密,密码明码。

相关厂商:DNSPod

漏洞作者:silmoon

提交时间:2012-12-14 10:36

公开时间:2013-01-28 10:37

漏洞类型:账户体系控制不严

危害等级:中

自评Rank:7

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2012-12-14: 细节已通知厂商并且等待厂商处理中
2012-12-14: 厂商已经确认,细节仅向厂商公开
2012-12-24: 细节向核心白帽子及相关领域专家公开
2013-01-03: 细节向普通白帽子公开
2013-01-13: 细节向实习白帽子公开
2013-01-28: 细节向公众公开

简要描述:

移动版本登陆的时候cookie存储的数据是明码,并未加密。

详细说明:

移动版本登陆的时候cookie存储的数据是明码,并未加密。两个cookie,一个是用户名,一个是密码。

漏洞证明:

自己看!两个cookie,一个是用户名,一个是密码。

修复方案:

非对称加密一下,具体怎么做都知道。

漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2012-12-14 14:00

厂商回复:

感谢我们的前员工、漏洞的作者亲自到乌云提醒我们修复此问题。问题已经修复,原来保存的cookie会在下次登录时删掉。感谢!

最新状态:

暂无

评价

  1. 2010-01-01 00:00 数据流 白帽子 | Rank:794 漏洞数:95)

    前员工?!!!!

  2. 2010-01-01 00:00 数据流 白帽子 | Rank:794 漏洞数:95)

    前员工?!!!!

  3. 2010-01-01 00:00 疯子 白帽子 | Rank:254 漏洞数:39)

    @数据流 有意思,前员工!!!

  4. 2010-01-01 00:00 LittlePig 白帽子 | Rank:5 漏洞数:2)

    “前员工、漏洞的作者”……

  5. 2010-01-01 00:00 zsx 白帽子 | Rank:0 漏洞数:3)

    “前员工、漏洞的作者”……

  6. 2010-01-01 00:00 乌帽子 白帽子 | Rank:28 漏洞数:2)

    前员工、漏洞的作者

  7. 2010-01-01 00:00 三十度 白帽子 | Rank:0 漏洞数:1)

    洞主亮了
    楼下的
    你怎么看

  8. 2010-01-01 00:00 c4bbage 白帽子 | Rank:15 漏洞数:4)

    楼上的奶罩掉了。。。哈哈

  9. 2010-01-01 00:00 imlonghao 白帽子 | Rank:703 漏洞数:73)

    奶罩掉了