Jafee

[抢票 APP 火车票达人曝漏洞 泄露 300 万用户密码]

  •  
  •   Jafee · Jan 8, 2015 via Android · 3132 views
    This topic created in 4225 days ago, the information mentioned may be changed or developed.
    1月8日早间消息,据360补天漏洞响应平台显示,国内流行的手机抢票APP“火车票达人”存在高危漏洞,包括数百万机票、火车票订单用户的身份证号、用户名、明文密码、详细票务信息等数据泄露。

    http://tech.sina.cn/?sa=t84d21888535v44
    11 replies    2015-01-08 17:48:44 +08:00
    rockpine
        1
    rockpine  
       Jan 8, 2015
    那啥,有没有数据要分享的
    yfdyh000
        2
    yfdyh000  
       Jan 8, 2015
    http://loudong.360.cn/vul/info/qid/QTVA-2015-147623
    从平台信息来看,是4小时完成确认并修复。但从新闻截图来看,用的是明文密码。平台上的截图经过了二次涂抹,颜色还不相同。PS: 新闻是标题党,准确说法是“可泄露”。
    dingyaguang117
        3
    dingyaguang117  
       Jan 8, 2015 via iPhone
    嗯 及时修复了 没流传出去。 而且是总数300万订单,只有部分有密码
    surftheair
        4
    surftheair  
       Jan 8, 2015
    问一下,第三方的程序不明文的话怎么登录12306?
    yfdyh000
        5
    yfdyh000  
       Jan 8, 2015
    @surftheair 忘记这点了…
    ooh
        6
    ooh  
       Jan 8, 2015
    @yfdyh000
    @surftheair 可逆加密
    dingyaguang117
        7
    dingyaguang117  
       Jan 8, 2015
    受朋之拖来说明下, 这个是朋友提交的漏洞,信息并没有被泄露,也已经及时修复,希望大家不要再讨论这件事情了,希望不要造成太大影响,感谢。
    wzxjohn
        8
    wzxjohn  
       Jan 8, 2015 via iPhone
    @ooh 大量密文可以极大加快密钥破解,同时如果你的程序一起被盗还是一样白搭。
    ooh
        9
    ooh  
       Jan 8, 2015
    @wzxjohn 恩,非要这么说的话,我也可以说基本所有网站都无解...如果你的服务器已经沦陷,人家已经在程序校验密码处等着用户提交提交密码了
    9hills
        10
    9hills  
       Jan 8, 2015
    @ooh 不可逆和可逆差别还是很大的

    可逆密码的问题是只要拿到算法,就能反解出用户密码
    不可逆就算你知道算法,你也得靠字典去暴破,万一是个bcrypt,暴破也不行。。
    ooh
        11
    ooh  
       Jan 8, 2015
    @9hills 不可逆怎么去登陆12306
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Solana   ·   3882 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 36ms · UTC 00:45 · PVG 08:45 · LAX 17:45 · JFK 20:45
    ♥ Do have faith in what you're doing.