漏洞详情

披露状态:


2015-11-30: 细节已通知厂商并且等待厂商处理中
2015-12-05: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

自己用的啊,顺手测试了一下.600w+的用户真是叼.不过密码只是简单的md5加密.可怕,你中枪了吗?

详细说明:

在应用商店下载的.

QQ截图20151128150024.png



然后下载抓包

登录处

抓包

QQ截图20151128150454.png



明文传输+username存在注入

还有一处注入

QQ截图20151128150908.png



usertype

QQ截图20151128150951.png



还有一处注入是签到那里

QQ截图20151128151133.png



prodid参数

多检查一下源码吧

漏洞证明:


QQ截图20151128151549.png


QQ图片20151128152828.png


QQ截图20151128153356.png


QQ截图20151128161030.png







修复方案:


版权声明:转载请注明来源 scanf@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-12-05 10:38

厂商回复:


漏洞Rank:15 (WooYun评价)

最新状态:

暂无