人人网看任意人的消息

编号6892
Urlhttp://www.wooyun.org/bug.php?action=view&id=6892
漏洞状态厂商已经确认
漏洞标题人人网看任意人的消息
漏洞类型未授权访问/权限绕过
厂商人人网
白帽子xiaobai
提交日期2012-05-10 09:23:00
公开日期2012-06-24 09:23:00
修复时间(not set)
确认时间2012-05-13 00:00:00
Confirm Spend3
漏洞标签设计缺陷/边界绕过 认证缺陷 认证设计不合理 设计错误 逻辑错误 未授权访问 用户敏感信息泄露 越权操作
关注数0
收藏数0
白帽评级
白帽自评rank1
厂商评级
厂商评rank20
漏洞简介
人人网如果禁止陌生人看页面是无法看状态和日志的,使用此方式可以查看任一人的状态和日志
漏洞细节

http://www.renren.com/(你的ID)#//status/status?id=(对方ID)

POC

http://www.renren.com/(你的ID)#//status/status?id=(对方ID)

修复方案

不知道是否为厂商刻意而留的接口

状态信息 2012-05-10: 细节已通知厂商并且等待厂商处理中
2012-05-13: 厂商已经确认,细节仅向厂商公开
2012-05-23: 细节向核心白帽子及相关领域专家公开
2012-06-02: 细节向普通白帽子公开
2012-06-12: 细节向实习白帽子公开
2012-06-24: 细节向公众公开
厂商回复(not set)
回应信息未能联系到厂商或者厂商积极拒绝漏洞Rank:20 (WooYun评价)
Showing 1-24 of 24 items.
评论内容评论人点赞数评论时间

@夏夏 需要在插件设置里改

TituX02013-02-25 18:07:00

@TituX 快速通道?我怎么没看到这个功能呀?

夏夏02013-02-25 15:44:00

这个给力,没修、

Chaplin02013-01-31 17:17:00

@xsser 没有啊,而且分享也有类似的链接,也没修

TituX02013-01-06 18:47:00

@TituX 现在还没修?

xsser02013-01-06 18:46:00

这个一直也没修复阿,估计是不会修复的了。有个叫人人网改造器的插件的“快速通道”功能净是这类越权链接,爽啊!

TituX02013-01-06 18:43:00

看不到日志。。。

Passer_by02012-06-12 16:42:00

漏洞Rank:20 (WooYun评价) ??

Blackeagle02012-06-08 18:10:00

@夏夏 求详细

123luckydog02012-06-07 22:33:00

强制加好友的洞有人知道不?哈哈

夏夏02012-06-07 16:27:00

@Blackeagle 你看看人人的其他问题,全给20,wooyun已经不和人人对话了,围脖上公示了…

123luckydog02012-05-15 15:54:00

隐私?看来隐私才是人人关注的问题啊。。rank20 哇靠。

Blackeagle02012-05-14 08:45:00

坐等公开

Mr.杨总02012-05-13 13:46:00

好久没上人人网了

her0ma02012-05-10 21:03:00

@xsser 洞主应该是今天刚注册的吧?怎么就是普通白帽子了?[/抠鼻]

redzl02012-05-10 17:50:00

@123luckydog 进化中

xsser02012-05-10 16:11:00

@xsser 白帽子怎么又分级了,分得更细了…没公告啊

123luckydog02012-05-10 16:09:00

@xiaobai 额,回错人了,bug主是你,怎么看日志哈?

123luckydog02012-05-10 16:07:00

@redzl 看日志呢?

123luckydog02012-05-10 16:06:00

@redzl 原来是可以看日志和相册的,刚刚试了一下,日至好像已经修改了。现在还有一个看头像可以用http://photo.renren.com/getalbumprofile.do?owner=对方ID

xiaobai02012-05-10 11:15:00

@xsser 真理。。。

大肠02012-05-10 11:08:00

求真相,正要找一个妹子的信息!

SZn02012-05-10 10:46:00

要是能看到私信就好了

xsser02012-05-10 10:45:00

状态我知道是改status后面的ID,不知道日志怎么看,坐等公开

redzl02012-05-10 10:29:00