鸿 网 互 联 www.68idc.cn

当前位置 : 服务器租用 > 网站安全 > 安全设置 > >

人人网大量用户资料信息可以被蠕虫传播

来源:互联网 作者:佚名 时间:2015-10-19 08:44
目前泄漏的用户信息已经有5000条左右,数量还在不断增加中,包括人人网的登录邮箱帐号,姓名,手机号,qq号,ip地址等。 危害流程:xss盲打后台发现大量用户资料信息此页面可以未授权任意访问大量用户敏感信息泄漏并可以被蠕虫传播 1 先说下未授权访问,就是
目前泄漏的用户信息已经有5000条左右,数量还在不断增加中,包括人人网的登录邮箱帐号,姓名,手机号,qq号,ip地址等。

 
危害流程:xss盲打后台→发现大量用户资料信息→此页面可以未授权任意访问→大量用户敏感信息泄漏并可以被蠕虫传播
 
 
 
 
 
1 先说下未授权访问,就是下面这个地址,目前已经有5000条左右用户信息,数量还在不断增加。
 
 
 
地址:http://pagetab.yx.renren.com/esteelauders//api/user-info-list?ps=10000
 
 
 
2 这个是我之前通过人人分站:http://page.renren.com/el/page-02的盲打漏洞获得到的,然后发现这地址竟然是任意条件都可以访问额(不登陆都可以访问额。如果只有管理权限可以访问的话,也就不会存在这个帖子了,肯定会和之前的盲打后台帖子发一起的)。
 
 
 
 
2 搜索一下自己插的那条xss代码,果然也在这堆泄漏信息中。
 
 
3 这样利用就变的非常的简单的(人人小站、人人公共主页、人人论坛等地方随便插,我这里是发到我的人人首页状态而已)
 
 
4 额,很快就有收到cookie了额
 
5 人人网的cookie没啥限制,而且是一站式,发个图给证明下。
 

 
 
6 由于所发的链接中还有xss代码,所以只需要把那个未授权泄漏用户信息页面,的xss代码的外部js文件中,写入一条发链接消息,的请求代码就可以进行大范围的蠕虫了。。。
 
 
 
成千上万的用户敏感信息被蠕虫传播,不知道危害算不算大?
 
 
 
 
等待人人网对这个漏洞的评估结果。
修复方案:
xss不提了,之前的漏洞说过。
 
 
 
未授权访问的,你做下权限设置吧。。

网友评论
<