百度贴吧隐私问题

漏洞概要

缺陷编号:WooYun-2012-06158

漏洞标题:百度贴吧隐私问题

相关厂商:百度

漏洞作者:随梦逐流

提交时间:2012-04-17 17:51

公开时间:2012-04-18 19:07

漏洞类型:设计缺陷/逻辑错误

危害等级:低

自评Rank:1

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2012-04-17: 细节已通知厂商并且等待厂商处理中
2012-04-17: 厂商已查看当前漏洞内容,细节仅向厂商公开
2012-04-18: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

百度贴吧个人动态隐藏没有作用
不论用户是否在百度贴吧选择隐藏个人动态,都能在百度空间看到该用户动态。
对某些别有用心的人来说,是一个好功能,但是对用户有一定危害。

详细说明:

这里我设置为隐藏个人动态

接着看下访问效果显示已经隐藏

接着我们访问该用户的百度空间

不管是否登录我们都可以访问。选择个人档案(如果没有隐藏个人档案标签我们可以直接输入http://hi.baidu.com/用户名/profile就可以出来。)选择贴吧发言。

我们就可以看到该用户的回帖记录和发帖记录,

打开后效果

漏洞证明:

=================================================================

修复方案:

设计不当,两个部门设计人员坐下喝喝酒,聊聊该问题。

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2012-04-18 19:07

厂商回复:

感谢您的提交,关于用户发帖数和所发表的帖子是允许检索的,而对于单独的动态提示,hi中是可以单独设置的

最新状态:

暂无

评价

  1. 2010-01-01 00:00 水滴 白帽子 | Rank:146 漏洞数:24)

    什么什么公开平台本来就是允许索引的
    这是以前的回答

  2. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    @水滴 这里似乎是bypass了一个功能

  3. 2010-01-01 00:00 水滴 白帽子 | Rank:146 漏洞数:24)

    lz看这个
    http://www.baidu.com/p/906448610

  4. 2010-01-01 00:00 水滴 白帽子 | Rank:146 漏洞数:24)

    据说还可以查到任意帐号绑定的邮箱手机
    据说等等等等