500wan彩票50万用户名信息泄漏

漏洞详情

披露状态:

2014-02-15: 细节已通知厂商并且等待厂商处理中
2014-02-20: 厂商已经确认,细节仅向厂商公开
2014-03-02: 细节向核心白帽子及相关领域专家公开
2014-03-12: 细节向普通白帽子公开
2014-03-22: 细节向实习白帽子公开
2014-04-01: 细节向公众公开

简要描述:

500wan彩票50万用户信息泄漏。

详细说明:

http://www.500wan.com/ 主站存在敏感信息泄漏。

比如:

http://www.500wan.com/static/info/rcjc/project/09073_rcjcfs_5.txt 泄漏了注册的部分用户名。

1.jpg

漏洞证明:

Burpsuite遍历一下:

burpsuite.jpg



从09073_rcjcfs_5.txt到09109_rcjcfs_5.txt全部存在,都是在500wan注册过的用户名。



如何知道这是用户名呢?

在http://www.500wan.com/static/info/rcjc/project/09099_rcjcfs_5.txt页面里面随便选取两条记录:

2.jpg



选取joeye和dooooh在密码找回(https://passport.500.com/user/getpwd.php)做测试:

1.不存在的用户名aabbccfg

4.jpg



2.选择的两条记录,可以成功进入到下一步:

5.jpg



6.jpg





37页大约泄漏了40-50W数据,具体的也没看,危害性还是比较大的。

修复方案:

删除掉这些文件。

版权声明:转载请注明来源 webm4ster@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:8

确认时间:2014-02-20 18:36

厂商回复:

谢谢白帽子webm4ster对我司信息安全作出的贡献。
您发现的是多年前的少量用户ID信息,属于历史遗留数据,但尚有部分业务需要调用,故马赛克处理。
您的故事告诉我们,用心的人总会有收获,burpsuite是个好东西。
请留下您的联系方式,我们会给您发送礼物了表谢意,顺带请教下您是如何发现这些文件的。

最新状态:

暂无


漏洞评价: