当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2015-0109570
漏洞标题：
酷狗某设计缺陷可劫持部分用户测试成功
相关厂商：
酷狗
漏洞作者：
0x 80
提交时间：
2015-04-22 10:16
修复时间：
2015-04-27 10:18
公开时间：
2015-04-27 10:18
漏洞类型：
应用配置错误
危害等级：
中
自评Rank：
10
漏洞状态：
漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2015-04-22： 细节已通知厂商并且等待厂商处理中
2015-04-27： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

酷狗某设计缺陷可劫持部分用户,测试成功

详细说明：

inurl:http://fanxing.kugou.com/username

69-.png


code出来了
http://fanxing.kugou.com/1042179?username=lvbolong&password=scope123&sm=&login_btn=
用户密码都出来了
http://fanxing.kugou.com/?username=%E5%94%AF%E4%B8%80deWT&password=123456&sm=
http://fanxing.kugou.com/1013217?userName=%E6%AE%87%E9%9B%A80123&password=1192675775&repassword=1192675775&code=TIPOM&reg_btn=
登陆看看
?username=lvbolong&password=scope123&sm=&login_btn=

90.png


8904.png


再测试另外1个
http://fanxing.kugou.com/?username=唯一deWT&password=123456&sm=

99.png


漏洞证明：

http://fanxing.kugou.com/?username=%E5%94%AF%E4%B8%80deWT&password=123456&sm=
http://fanxing.kugou.com/1042179?username=lvbolong&password=scope123&sm=&login_btn=

修复方案：

版权声明：转载请注明来源 0x 80@乌云

>

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-04-27 10:18

厂商回复：

漏洞Rank：8 (WooYun评价)

最新状态：

暂无