漏洞详情

披露状态:

2014-09-22: 细节已通知厂商并且等待厂商处理中
2014-09-23: 厂商已经确认,细节仅向厂商公开
2014-10-03: 细节向核心白帽子及相关领域专家公开
2014-10-13: 细节向普通白帽子公开
2014-10-23: 细节向实习白帽子公开
2014-11-06: 细节向公众公开

简要描述:

恭喜搜狗输入法入驻ios

详细说明:

有一天社工到一个邮箱账号、密码,登陆后惊奇的发现是搜狗员工的,然后故事就开始了。
邮箱里好多敏感信息,其中有一条是这个。

1.jpg


成功的发现,搜狗的OA系统的登陆规律是账号是身份证。那么接下来开始社工该员工的身份证,对于身份证而言,12306是最好的社工库了。
登陆后可以获取到想要的身份证信息。

1.jpg


多有冒犯,请海涵。
登陆搜狗OA系统http://oa.sohu-inc.com/EmployeeLogin.aspx
用户名:身份证件号码
登录密码:7t$K!To9

1.jpg


漏洞证明:

1.jpg


有礼物吗?

修复方案:

加强员工安全教育

标签: none

评论已关闭