漏洞详情

披露状态:


2015-11-30: 细节已通知厂商并且等待厂商处理中
2015-12-05: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

自己用的啊,顺手测试了一下.600w+的用户真是叼.不过密码只是简单的md5加密.可怕,你中枪了吗?

详细说明:

在应用商店下载的.

QQ截图20151128150024.png



然后下载抓包

登录处

抓包

QQ截图20151128150454.png



明文传输+username存在注入

还有一处注入

QQ截图20151128150908.png



usertype

QQ截图20151128150951.png



还有一处注入是签到那里

QQ截图20151128151133.png



prodid参数

多检查一下源码吧

漏洞证明:


QQ截图20151128151549.png


QQ图片20151128152828.png


QQ截图20151128153356.png


QQ截图20151128161030.png







修复方案:


版权声明:转载请注明来源 scanf@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-12-05 10:38

厂商回复:


漏洞Rank:15 (WooYun评价)

最新状态:

暂无

请注意:网络时代讲究速度有全面的资讯,虽然互联网是一张密集的网络但由于各国之间相互交错,其实很多资讯与信息我们并不能完全获取,然而有技术的就可以通过翻墙访问全世界的每一个角落。不论您是长期从事何种职业当资源与信息匮乏时,即可通过参照本文进行简单设置电脑翻墙、手机(苹果IOS翻墙、安卓手机翻墙)、火狐浏览器翻墙、谷歌chrome浏览器翻墙等通通不在话下。并且特别针对与youtube、twitter推特、facebook翻墙等工具的使用和教程,保持长期稳定的更新幅度保障大家畅连全世界!