V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
M4ster
V2EX  ›  程序员

总想搞个大新闻 - 安全,总是在出事后才被人关心

  •  
  •   M4ster · 2015-10-22 08:37:06 +08:00 · 4325 次点击
    这是一个创建于 3305 天前的主题,其中的信息可能已经有所发展或是发生改变。

    此次某易被曝出的 100 条数据被同行恶意炒作,吸引了大量不明真相的群众;
    暂且不说数据真实性和危害,仅从公开的漏洞信息客观的看看国内各大厂商的安全做的如何。

    31 条回复    2015-10-22 18:59:46 +08:00
    M4ster
        1
    M4ster  
    OP
       2015-10-22 08:37:16 +08:00
    腾讯邮箱开放平台多处 SQL 注入漏洞 http://www.wooyun.org/bugs/wooyun-2010-0138129
    腾讯邮箱开放平台某 SQL 注入 http://www.wooyun.org/bugs/wooyun-2010-0138114
    腾讯邮箱某业务主站 SQL 注入 http://www.wooyun.org/bugs/wooyun-2010-0133092
    腾讯邮箱发件人伪造漏洞进行诈骗的案例(伪装工商银行) http://www.wooyun.org/bugs/wooyun-2010-084467
    腾讯邮箱附件预览页面 URL 跳转 http://www.wooyun.org/bugs/wooyun-2010-069277
    腾讯邮箱正文存储行 XSS http://www.wooyun.org/bugs/wooyun-2010-060136
    我是如何利用腾讯邮件群发狂刷数百万粉丝的 http://www.wooyun.org/bugs/wooyun-2010-050305
    腾讯邮箱漂流瓶可泄露对方邮箱和 QQ (匿名也中招) http://www.wooyun.org/bugs/wooyun-2010-041444
    腾讯邮箱 smtp 注册时间限制绕过漏洞 http://www.wooyun.org/bugs/wooyun-2010-025810
    腾讯邮箱网页生成助手导致用户名和邮件内容泄漏 http://www.wooyun.org/bugs/wooyun-2010-025330
    腾讯邮箱代发漏洞 http://www.wooyun.org/bugs/wooyun-2010-020099
    腾讯邮箱一处存储型 XSS http://www.wooyun.org/bugs/wooyun-2010-018984
    腾讯邮箱的问题可以导致存储式 XSS http://www.wooyun.org/bugs/wooyun-2010-018939
    腾讯邮箱两处存储跨站+一个缺陷 http://www.wooyun.org/bugs/wooyun-2010-015753
    腾讯邮箱安全漏洞_No.1_之存储型 XSS http://www.wooyun.org/bugs/wooyun-2010-015666
    腾讯邮箱记事 存储型 xss http://www.wooyun.org/bugs/wooyun-2010-015022
    腾讯邮箱持久型 xss 漏洞 http://www.wooyun.org/bugs/wooyun-2010-014119
    腾讯邮箱转发邮件泄露用户隐私 http://www.wooyun.org/bugs/wooyun-2010-011392
    对上一个腾讯邮箱储存型 xss 复现利用补充 http://www.wooyun.org/bugs/wooyun-2010-010189
    腾讯邮箱某漏洞可以导致隐藏后门 http://www.wooyun.org/bugs/wooyun-2010-07907
    腾讯邮箱又一个 flash 跨站 http://www.wooyun.org/bugs/wooyun-2010-06178
    腾讯邮箱储存型 xss http://www.wooyun.org/bugs/wooyun-2010-06176
    腾讯邮箱服务器允许源地址欺骗漏洞 http://www.wooyun.org/bugs/wooyun-2010-03257
    腾讯邮箱 CSRF 漏洞 http://www.wooyun.org/bugs/wooyun-2010-02089
    M4ster
        2
    M4ster  
    OP
       2015-10-22 08:37:27 +08:00
    新浪邮箱某处存储型 XSS 跨站 http://www.wooyun.org/bugs/wooyun-2010-0120187
    新浪企业邮箱设计缺陷可泄露企业用户信息 http://www.wooyun.org/bugs/wooyun-2010-0113983
    新浪邮箱存储型 xss 点击邮件即可触发 http://www.wooyun.org/bugs/wooyun-2010-0106918
    新浪邮箱某处存在反射型例子 http://www.wooyun.org/bugs/wooyun-2010-092070
    新浪邮箱存储型漏洞 http://www.wooyun.org/bugs/wooyun-2010-079369
    新浪邮箱邮件正文存储型 XSS 漏洞 http://www.wooyun.org/bugs/wooyun-2010-074293
    新浪邮箱 3G 版反射型 XSS http://www.wooyun.org/bugs/wooyun-2010-055243
    新浪邮箱正文存储型 XSS http://www.wooyun.org/bugs/wooyun-2010-054215
    新浪邮箱存储型 XSS 第二弹 http://www.wooyun.org/bugs/wooyun-2010-050315
    新浪邮箱存储型 XSS (字符集缺陷) http://www.wooyun.org/bugs/wooyun-2010-050258
    新浪邮箱某处存储型 XSS http://www.wooyun.org/bugs/wooyun-2010-039574
    新浪邮箱存储型 XSS http://www.wooyun.org/bugs/wooyun-2010-021270
    新浪邮箱的一个持久型 XSS (内容无过滤) http://www.wooyun.org/bugs/wooyun-2010-021137
    新浪邮箱邮件正文 XSS - 富文本过滤策略绕过 http://www.wooyun.org/bugs/wooyun-2010-019578
    新浪邮箱存 csrf ,黑白名单随便设置 http://www.wooyun.org/bugs/wooyun-2010-016118
    新浪某分站重要信息泄露 http://www.wooyun.org/bugs/wooyun-2010-015324
    新浪邮箱存储型 XSS http://www.wooyun.org/bugs/wooyun-2010-014392
    新浪邮箱反射型 xss 漏洞 http://www.wooyun.org/bugs/wooyun-2010-013796
    新浪邮箱预览存储型 XSS http://www.wooyun.org/bugs/wooyun-2010-010532
    新浪邮箱存储型跨站 http://www.wooyun.org/bugs/wooyun-2010-08753
    新浪邮箱正文存储型 XSS http://www.wooyun.org/bugs/wooyun-2010-08492
    新浪邮箱正文存储型 XSS ,空字节不仅能上传,还能跨站 http://www.wooyun.org/bugs/wooyun-2010-07244
    新浪邮箱邮件正文 XSS http://www.wooyun.org/bugs/wooyun-2010-06915
    新浪邮箱持久型 xss !也是 word 文档引发的! http://www.wooyun.org/bugs/wooyun-2010-06270
    新浪邮箱 xss 漏洞 http://www.wooyun.org/bugs/wooyun-2010-04997
    新浪邮箱登陆框跨站漏洞 http://www.wooyun.org/bugs/wooyun-2010-0628
    M4ster
        3
    M4ster  
    OP
       2015-10-22 08:37:35 +08:00
    搜狐邮箱持久类型 XSS http://www.wooyun.org/bugs/wooyun-2010-0120178
    sohu 邮箱正文出存在 XSS 漏洞 http://www.wooyun.org/bugs/wooyun-2010-0115134
    搜狐邮箱存储型 XSS 无需点击直接触发 http://www.wooyun.org/bugs/wooyun-2010-094135
    搜狐邮箱邮件正文存储型 XSS http://www.wooyun.org/bugs/wooyun-2010-060902
    搜狐邮箱手机版存储型 XSS http://www.wooyun.org/bugs/wooyun-2010-055178
    搜狐邮箱存储型 XSS(危害放大技巧) http://www.wooyun.org/bugs/wooyun-2010-054403
    搜狐邮箱正文存储型 XSS http://www.wooyun.org/bugs/wooyun-2010-054216
    搜狐邮箱正文存储型 XSS (回复或转发触发) http://www.wooyun.org/bugs/wooyun-2010-051969
    搜狐邮箱存储型 XSS (需点击) http://www.wooyun.org/bugs/wooyun-2010-045277
    搜狐邮箱某处存储性 XSS 两枚 http://www.wooyun.org/bugs/wooyun-2010-039879
    搜狐邮箱一处平行权限漏洞 http://www.wooyun.org/bugs/wooyun-2010-036557
    搜狐邮箱 Struts2 任意命令执行 http://www.wooyun.org/bugs/wooyun-2010-011853
    搜狐邮箱业务命令执行漏洞 http://www.wooyun.org/bugs/wooyun-2010-029265
    搜狐邮箱密码找回功能设计脆弱,可通过认知密码修改大部分邮箱口令 http://www.wooyun.org/bugs/wooyun-2010-08319
    搜狐邮箱 3 处反射 xss http://www.wooyun.org/bugs/wooyun-2010-06268
    M4ster
        4
    M4ster  
    OP
       2015-10-22 08:37:53 +08:00
    Tom 邮箱某处布尔型盲注 http://www.wooyun.org/bugs/wooyun-2010-0113470
    TOM 邮箱某接口设计不当可撞库邮箱#2 (大量成功账号证明) http://www.wooyun.org/bugs/wooyun-2010-0112402
    tom 某分站存在整站目录遍历,包含敏感信息 http://www.wooyun.org/bugs/wooyun-2010-0112136
    tom 邮箱测试员密码泄露可间接导致内部员工邮件信息泄露 http://www.wooyun.org/bugs/wooyun-2010-0111108
    TOM 邮箱可 xss http://www.wooyun.org/bugs/wooyun-2010-0101163
    tom 存在 XSS 漏洞已经取得 cookie http://www.wooyun.org/bugs/wooyun-2010-095815
    TOM 邮箱存储型 XSS http://www.wooyun.org/bugs/wooyun-2010-087922
    tom 邮箱存在跨站脚本漏洞 http://www.wooyun.org/bugs/wooyun-2010-069281
    TOM 邮箱邮件正文的存储型 XSS http://www.wooyun.org/bugs/wooyun-2010-068154
    TOM 邮箱储存型 XSS 一枚(自动触发) http://www.wooyun.org/bugs/wooyun-2010-056833
    Tom 邮箱设计不当导致部分用户密码明文密码在搜索引擎泄漏 http://www.wooyun.org/bugs/wooyun-2010-055114
    TOM 邮箱过滤不严导致存储型 xss(自动触发) http://www.wooyun.org/bugs/wooyun-2010-054420
    TOM 邮箱存储型 XSS 一枚 http://www.wooyun.org/bugs/wooyun-2010-053950
    TOM 邮箱邮件内容存储型跨站 http://www.wooyun.org/bugs/wooyun-2010-052997
    tom 邮箱某处 xss 可 URL 跳转 http://www.wooyun.org/bugs/wooyun-2010-052030
    TOM 邮箱储存型 XSS 一枚(自动触发) http://www.wooyun.org/bugs/wooyun-2010-051981
    尝试用一种新的姿势 xTom 邮箱( clickhijack ) http://www.wooyun.org/bugs/wooyun-2010-051922
    tom 邮箱重要功能跨站可打 cookie http://www.wooyun.org/bugs/wooyun-2010-051864
    hzzday
        5
    hzzday  
       2015-10-22 08:40:53 +08:00
    有没有 google outlook 的。。
    M4ster
        6
    M4ster  
    OP
       2015-10-22 08:43:32 +08:00
    @hzzday Google 和 Outlook 漏洞也并不少见,只是举例了国内部分厂商。当然,我国和米国的差距还是有的。
    Slienc7
        7
    Slienc7  
       2015-10-22 08:52:24 +08:00 via Android
    5 年前的漏洞来强行洗地有意义吗?
    你想说明什么?
    XianZaiZhuCe
        8
    XianZaiZhuCe  
       2015-10-22 08:55:13 +08:00
    @xgowex 你凭什么说这是五年前的?点进去看了没有?
    mrjoel
        9
    mrjoel  
       2015-10-22 08:58:36 +08:00 via Android
    本来就没有绝对安全的系统,有漏洞被发出来然后修复是可以理解的(这证明了安全工作者和厂商在努力)。可怕的是假装没有漏洞,以公关投入代替安全投入。
    x86
        10
    x86  
       2015-10-22 09:01:58 +08:00
    人家 TX 的出了问题承认呀
    x86
        11
    x86  
       2015-10-22 09:02:32 +08:00
    擦。几年前的
    Slienc7
        12
    Slienc7  
       2015-10-22 09:03:33 +08:00 via Android
    0-3 年
    @XianZaiZhuCe
    int64ago
        13
    int64ago  
       2015-10-22 09:04:21 +08:00
    @XianZaiZhuCe 目测 TA 只看标题……

    话说, TA 会不会回复:今年的又怎样?

    看着也有点奇怪,这个事被炒作的嫌疑太大,太多小白被吓到了
    miclushine
        14
    miclushine  
       2015-10-22 09:06:32 +08:00
    卧槽,还能这样强行洗地。。。地上水泥都给洗掉了好不。
    NetCobra
        15
    NetCobra  
       2015-10-22 09:08:48 +08:00
    lz 想证明什么呢?网易做的没问题?还是其实大家都一样烂?
    alex321
        16
    alex321  
       2015-10-22 09:13:09 +08:00
    别再洗地了,网易这个漏洞好几年前就已经被黑产利用上了。仔细看看这里反馈的网易众多 xss ,验证码形同虚设,二步验证被轻松绕过等等问题,再看看网易屡次三番地说这是撞库。好吧,既然撞库,那么包含注册 IP 、时间和密码保护资料的 54G 多的数据从何而来?如果真如网易所说的是撞库,你给出切实理由啊,我们不是谁主张谁举证么。
    从根本上来说,这就是网易不作为。再看看网易的其他方面,最拿得出手的就是新闻评论了,虽然神人辈出,那里面绝大多数还是各种年轻小伙伴啊,就是给大家增加了点茶余饭后的谈资。
    作为曾经数一数二的门户,和标榜各领域第一的在线电子邮件服务商,出问题了,只知道利用公关洗地,试问,看过国内其他大厂是如何做的么?即便从公关角度上,人家的手段就比你高好几个层次。网易,早已经沦为二流门户了。加以时日,也就可以洗洗睡了。
    visonme
        17
    visonme  
       2015-10-22 09:13:28 +08:00
    其实对于企业爆出的安全问题,作为普通的客户,生气是可以理解的,毕竟你的很多隐私可能直接就暴露在互联网之下了,但是对企业方我们也是要多点理解的。

    安全是个相对的话题,在安全问题暴露时候企业方的态度和作为是很重要的,如果对方企业能积极的处理存在的问题,有一套相对完善成熟的应对安全问题的机制,那么我们应该是多点理解的,而不是在网络不断将问题扩大化 ,不断的 XXXXX
    NetCobra
        18
    NetCobra  
       2015-10-22 09:25:49 +08:00
    @visonme 换个思路:
    “其实对于银行爆出的安全问题,作为普通的客户,生气是可以理解的,毕竟你的很多钱可能直接就被罪犯拿走了,但是对银行方我们也是要多点理解的。”
    你能理解吗?
    CRH
        19
    CRH  
       2015-10-22 09:28:58 +08:00   ❤️ 3
    一个 800 年没用过的网易邮箱帐号,密码十多位,而且这个密码从来没在别处用过的
    昨天登上去发现一堆异地登录信息

    你跟我说那 100 条是炒作?
    flydogs
        20
    flydogs  
       2015-10-22 09:36:39 +08:00
    国内那些公司就是比谁更烂
    jydeng
        21
    jydeng  
       2015-10-22 09:56:21 +08:00
    @visonme 以后不用网易就可以了,没必要扯这些。
    Khlieb
        22
    Khlieb  
       2015-10-22 11:10:03 +08:00 via Android
    @flydogs 这里面有好些漏洞看起来都是很低级的。
    Zzzzzzzzz
        23
    Zzzzzzzzz  
       2015-10-22 11:24:05 +08:00
    @CRH 猪厂产品经理得给异地登录背一半锅,以前推绑手机号的邮箱小号时, 我和我朋友一堆用 163 的都出现大量异地登录的记录, 登录就提示有安全问题, 绑定手机号才安全, 坚持不绑就一直出现不同的异地登录记录, 一旦绑了就再也没有了。
    andyL
        24
    andyL  
       2015-10-22 11:31:30 +08:00
    乌云的技术人员给我一种很牛逼的感觉,大神
    CRH
        25
    CRH  
       2015-10-22 12:17:47 +08:00
    @Zzzzzzzzz 被爆的是个注册网站用的小号。
    还好 163 的主帐号绑定了手机二次验证,不然肯定也被爆了
    kiritoalex
        26
    kiritoalex  
       2015-10-22 12:28:15 +08:00 via Android
    行行行,你觉得安全你就继续用吧,好像谁没有安全的邮箱似的
    imn1
        27
    imn1  
       2015-10-22 13:18:26 +08:00
    老丁啊,作为一个自 telnet 火鸟 BBS 时代延续至今的用户,这次也看不下去了
    visonme
        28
    visonme  
       2015-10-22 14:25:13 +08:00
    @NetCobra

    其实你的回答,我的理解是很无奈的,甚至有点抬杠的问题。

    你的对比没有错,但是拿个银行出来做对比,你自己不觉得很可笑吗,因为我已经在脑子里有一百个可以跟你一样的对比对象了? 我只是在客观的说明一些问题而已。强调的是企业出现了安全问题,在后续中应该如何去补救,而在安全问题后,企业如果去改善产品,服务等安全性问题是很重要的。

    如果说在安全问题发生后,企业的不作为和不在意,那才是应该是我们要关注和讨论的,而对于能积极处理问题的我们还是要多点理解的。难道不是吗,这就好像人是不可能不会犯错误的和世界上没有后悔药一样、
    visonme
        29
    visonme  
       2015-10-22 14:27:03 +08:00
    @jydeng 不是在扯,而是客观的去看待和对待一个问题,用和不用那是个人的选择的问题
    zander
        30
    zander  
       2015-10-22 14:29:22 +08:00
    技术人员即使站队,也要站自己这一队。你们想想:如果钱花在“平事儿”上就能无惧安全问题,那为什么要投入在技术上呢? via @tombkeeper
    fashioncj
        31
    fashioncj  
       2015-10-22 18:59:46 +08:00
    世界上没有绝对安全的程序。安全一直是一种博弈。
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   5371 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 29ms · UTC 08:41 · PVG 16:41 · LAX 00:41 · JFK 03:41
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.