网易跟帖爆漏洞，可轻松解析所有跟帖用户邮箱

显示全部楼层 · 发表于 2017-9-29 16:56:25

上网易首页，随便打开一个新闻，后面都有跟帖区，比如这个。 QQ截圖20170929163449.png

随便点开一个人的ID，可以打开他的跟帖主页，比如点开这个人。
QQ截圖20170929164056.png

如图，复制地址栏username和gentienickname中间那一段代码，找个在线base64解析的网站进去解析，马上就能解析出用户的邮箱了。
QQ圖片20170929164448.jpg

这个人是用微信在网易新闻客户端上登录并发表评论的，所以解析出的地址尾号是wx@163.com，我们换个人。

点开他的ID进入个人跟帖主页
QQ截圖20170929165204.png

如图，复制地址栏username和gentienickname中间那一段代码，再进行base64解析。
QQ截圖20170929165352.png

网易这种加密方式还停留在上古时期啊！也不知道啥时候能升级一下，如果跟帖里面更人吵架，很容易被人人肉。

显示全部楼层 · 发表于 2017-9-29 16:57:46

文中那个测试漏洞的网址：http://comment.news.163.com/news ... FUU6TR0001875P.html
这个是我用来解析的网址：http://base64.xpcha.com 大家可以试试，也希望网易能够重视。

显示全部楼层 · 发表于 2017-11-3 09:17:34

网易的东西根本就不安全，之前邮箱被撞库什么的，可怕。。。完全不敢用他们家任何东西，这个企业很垃圾。

显示全部楼层 · 发表于 2017-11-25 15:37:14

该漏洞已被修复，现为ID

[其它] 网易跟帖爆漏洞，可轻松解析所有跟帖用户邮箱