APP安全之有话通一处缺陷导致2w手机机主文明密码泄露(模拟攻击者攻击)

admin
admin
admin
141016
文章
117
评论
2017年4月16日13:21:53评论318 views字数 240阅读0分48秒阅读模式
摘要

2016-04-04： 积极联系厂商并且等待厂商认领中，细节不对外公开
2016-05-19： 厂商已经主动忽略漏洞，细节向公众公开

漏洞概要 关注数(5) 关注此漏洞

缺陷编号： WooYun-2016-192161

漏洞标题： APP安全之有话通一处缺陷导致2w手机机主文明密码泄露(模拟攻击者攻击)

相关厂商： 有话通

漏洞作者： 小龙

提交时间： 2016-04-04 11:37

公开时间： 2016-05-19 11:40

漏洞类型： XSS 跨站脚本攻击

危害等级： 高

自评Rank： 20

漏洞状态： 未联系到厂商或者厂商积极忽略

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： 持久型xss 存储型xss XSS

0人收藏

漏洞详情

披露状态：

2016-04-04： 积极联系厂商并且等待厂商认领中，细节不对外公开
2016-05-19： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

有话通网络电话是一款网络语音通信软件，是一款语音工具、是一款绿色、便捷、音质优良的网络电话，网络电话又称为VOIP，是通过互联网直接拨打对方的固定电话和手机进行双向通话的软件。

详细说明：

code 区域 
APP反馈建议盲打
 
 收到cookie
 
 
 location : http://aihu.uhuacall.com:8088/index.php/runlog/feedback/index
 toplocation : http://aihu.uhuacall.com:8088/index.php/runlog/feedback/index
 cookie : Hm_lvt_f0305137dbf205765bdd67a83b9ffc25=1453087146,1453171969,1453712935,1454396182; ci_session=a%3A4%3A%7Bs%3A10%3A%22session_id%22%3Bs%3A32%3A%226d897bca634b40b0ff6dbd0a7d6083e4%22%3Bs%3A10%3A%22ip_address%22%3Bs%3A13%3A%22218.17.13.199%22%3Bs%3A10%3A%22user_agent%22%3Bs%3A50%3A%22Mozilla%2F5.0 %28Windows NT 6.1%3B WOW64%29 AppleWebKit%2F53%22%3Bs%3A13%3A%22last_activity%22%3Bi%3A1459669578%3B%7Debe11e1e133d6bf4cdc659b2b144b847

啥年代了还用明文密码。我也是醉了。

APP安全之有话通一处缺陷导致2w手机机主文明密码泄露(模拟攻击者攻击)

APP安全之有话通一处缺陷导致2w手机机主文明密码泄露(模拟攻击者攻击)

这里模拟下攻击者

APP安全之有话通一处缺陷导致2w手机机主文明密码泄露(模拟攻击者攻击)

得到密码：lx931114

APP安全之有话通一处缺陷导致2w手机机主文明密码泄露(模拟攻击者攻击)

APP安全之有话通一处缺陷导致2w手机机主文明密码泄露(模拟攻击者攻击)

APP安全之有话通一处缺陷导致2w手机机主文明密码泄露(模拟攻击者攻击)

这简直就不是让用户来使用自己的服务的吧。是泄露用户信息的吧。。666

APP安全之有话通一处缺陷导致2w手机机主文明密码泄露(模拟攻击者攻击)

这是900多数据。 用户量增长的很猛。4点看才800

但是可以遍历哦。

一共1w加

APP安全之有话通一处缺陷导致2w手机机主文明密码泄露(模拟攻击者攻击)

数字不断遍历即可。

1万9，基本可以说是2万了。。

漏洞证明：

11

修复方案：

11

版权声明：转载请注明来源 小龙@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：15 (WooYun评价)

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin