QQ邮箱/企业邮箱越过密码的保护

漏洞概要

缺陷编号:WooYun-2011-03156

漏洞标题:QQ邮箱/企业邮箱越过密码的保护

相关厂商:腾讯

漏洞作者:7INMoKu

提交时间:2011-10-30 08:22

公开时间:2011-10-31 09:30

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:5

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2011-10-30: 细节已通知厂商并且等待厂商处理中
2011-10-30: 厂商已查看当前漏洞内容,细节仅向厂商公开
2011-10-31: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

直接跳过qq密码的第一层保护进入邮箱

详细说明:

直接跳过密码的保护进入邮箱,一些商业人士的邮箱必定有独立密码的保护,当然在不知道qq密码的情况下是进不去邮箱的,但这个小漏洞直接跳过了qq密码的保护,qq密码和独立密码是不一样,如果遇到社工大牛那么他直接社到独立密码就直接进入邮箱,邮箱里面的内容就会悲剧……虽然鸡叻,但是还是会有用上的地方……一般情况下普遍人设置的独立密码比qq密码简单……

漏洞证明:

利用方法:QQ企业邮箱:http://m.exmail.qq.com/cgi-bin/loginpageQQ邮箱:http://w41.mail.qq.com/cgi-bin/loginpage直接输入独立密码进入邮箱————————————————————————————————普通情况下进入邮箱,输入qq密码后还需要验证第二层独立密码:

而漏洞利用下:

我故意输入了qq密码但是显示错误,他要的是独立密码。我直接输入独立密码,越过qq密码成功进入了邮箱……

修复方案:

你们应该懂的

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2011-10-31 09:30

厂商回复:

未能重现上述描述中的漏洞

漏洞Rank:2 (WooYun评价)

最新状态:

暂无

评价

  1. 2010-01-01 00:00 wdlei 白帽子 | Rank:20 漏洞数:5)

    这个早就懂了 用过企业邮箱的人都明白。