六间房设计不当可获取女主播的ip地址

编号225648
Urlhttp://www.wooyun.org/bug.php?action=view&id=225648
漏洞状态厂商已经修复
漏洞标题六间房设计不当可获取女主播的ip地址
漏洞类型设计缺陷/逻辑错误
厂商六间房
白帽子惊蛰
提交日期2016-07-03 18:00:00
公开日期2016-07-08 11:31:00
修复时间2016-07-08 11:31:00
确认时间2016-07-08 00:00:00
Confirm Spend5
漏洞标签
关注数0
收藏数0
白帽评级
白帽自评rank5
厂商评级
厂商评rank2
漏洞简介
从此上门约炮不是梦
漏洞细节

问题在手机客户端,打开app
随便找一个主播房间进去,抓包

1.jpg


2.jpg


提取了下接口

http://v.6.cn/coop/mobile/index.php?padapi=coop-mobile-inroom.php&ruid=【主播uid】&playeruid=&encpass=

POC

1.jpg


2.jpg

修复方案

返回删除ip值

状态信息 2016-07-03: 细节已通知厂商并且等待厂商处理中
2016-07-08: 厂商已经确认,细节仅向厂商公开
2016-07-08: 厂商已经修复漏洞并主动公开,细节向公众公开
厂商回复非常感谢
回应信息危害等级:低漏洞Rank:2 确认时间:2016-07-08 00:38
Showing 1-11 of 11 items.
评论内容评论人点赞数评论时间

男主播的不能获取吗

liutao053202016-07-08 09:16:00

男主播的不能获取吗

prolog02016-07-08 09:08:00

男主播的不能获取吗

Leon02016-07-04 11:01:00

男主播的不能获取吗

大橙子02016-07-04 10:18:00

男主播的不能获取吗

冷白开。02016-07-04 10:12:00

男主播的不能获取吗

n3uz02016-07-04 09:12:00

男主播的不能获取吗

adminss02016-07-04 00:26:00

gay的不能获取吗

Raven02016-07-03 19:50:00

人妖的的不能获取吗 ?

陆由乙02016-07-03 18:37:00

男主播的不能获取吗

骸骸02016-07-03 18:33:00

男主播的不能获取吗

乳酸君、02016-07-03 18:27:00