当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0182244

漏洞标题:人人网移动端多处配置不当可越权登录他人账号漏洞打包

相关厂商:人人网

漏洞作者: NeverEnd

提交时间:2016-03-08 15:03

修复时间:2016-04-24 18:04

公开时间:2016-04-24 18:04

漏洞类型:未授权访问/权限绕过

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-03-08: 细节已通知厂商并且等待厂商处理中
2016-03-10: 厂商已经确认,细节仅向厂商公开
2016-03-20: 细节向核心白帽子及相关领域专家公开
2016-03-30: 细节向普通白帽子公开
2016-04-09: 细节向实习白帽子公开
2016-04-24: 细节向公众公开

简要描述:

人人网移动端多处配置不当可越权登录他人账号漏洞打包

详细说明:

#第一处:百度搜索site:renren.com inurl:sid

2016-03-08_13-43-39.png


找到标题为手机人人网的网站,如

http://3g.renren.com/home.do?sid=V6lNussTlH_2H-l6UimfaZ&bm=316589623_fcbfca64832f541115d682a76fd7536b_1415165048956&f=1


成功登录

2016-03-08_14-40-00.png


个人主页

2016-03-08_14-41-42.png


#第二处:百度搜索site:3g.renren.com 手机人人网
这个在wooyun-2010-0126323中报告过,然而修复的并不完整

2016-03-08_14-43-23.png


访问其中一个,如

http://3g.renren.com/home.do?from=9508001&sid=7johVoa59YO6RIlPerk5lZ&bm=437025963_40143d4e770812d812261a4a4b6ad530_1411564082922


登陆成功

2016-03-08_14-44-35.png


个人主页

2016-03-08_14-45-35.png


漏洞证明:

如上

修复方案:

修改相关爬取策略

版权声明:转载请注明来源 NeverEnd@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:5

确认时间:2016-03-10 18:04

厂商回复:

感谢

最新状态:

暂无