搜狐博客的漏洞-纯数字结尾帐号与字符加纯数字帐号的共享管理
昨天，从一个同事那里发发现了一个问题，是关于搜狐博客的。
今天想一下，越是觉得这问题还真大，于是写下了以下这些。
提前声明：
1、为保护当事人的隐私信息，以下所涉及到的可能帐号信息及图片信息，将采用模糊化的形式表现。
2、看到此信息的朋友，你接下来要做的即是马上修改你的个人信息或将博客搬家。
3、虽然是借用同事的博客帐号，但以下以第一人称表述，即“我”、“我的”“我的博客”，而用“他的博客”代表另一个当事人的博客。
4、感谢同事的帐号及密码支持。
以下说明按照顺序进行说明：
一、登录：
打开搜狐博客的首页，在登录处输入我用我的帐号***420@sohu.com，输入密码后，进入了登录成功的页面。
这本是正常，如每个用搜狐博客的人一样。
如下图所示：
这一步是正常的。
二、博客页面：
接下来，我点击帐号下面的“查看我的博客”，进入的页面真的是吓了我一大跳，因为我进入的是他人的博客。
这一步开始不正常了，我用带纯数字的博客帐号进行登录，进入的却是别人的博客，完全是的。
也就是说，如果我用***420@sohu.com的帐号登录，进入的却是hu*****420@sohu.com帐号的博客。
三、博客管理：
但我还真有点不信，于是我再点击了上面与右边的“查看我的博客”，进入了后台管理页面。
在这个页面里，除上左上角的是我的帐号信息外，左侧点击进去后所有的信息都是他人博客的帐号信息。
如下图所示。
现在我不得不相信，眼前这一切看到的是真的了。
我用我的帐号，进入了却是别人的后台。
四、博客比较：
但到了这一步，我就在想，如何进入我的博客帐号呢，如何管理我的博客呢？
找来找去，并没有发现我想要的。
于是，我只能在地址栏里通过，输入我的博客地址，这样才能看到我的博客。但，我已经没有权限对我自己的纯数字帐号博客进行更改了。
我的博客地址是：http://***420.blog.sohu.com/
他的博客地址是：http://hu*****420.blog.sohu.com/
以上一个*代表一个字体。
如下图所示：
五、总结：
通过以上的描述与表达，你应该可以知道我要说的了。
这是搜狐博客的一大漏洞。
BUG：你可以用纯数字的博客帐号，来进入字母+纯数字的另一个博客帐号，即你可以用123456@sohu.com的博客帐号，来管理abc123456@sohu.com帐号的博客。
说明延伸：
1、我试着申请了另一个帐号，也试图想要通***420@sohu.com来进行管理，但不能成功。
2、我用***420@sohu.com帐号进入搜狐邮箱登录，进入后，看到却是hu*****420@sohu.com帐号的邮箱信息。
3、我想试着申请以纯数字为帐号的搜狐帐号信息，发现“用户名应为4~16位，字母开头，只含字母、数字、下划线”的提示，即不能注册纯数字的了。
就写到这里吧，如果你用的是以字符加纯字母的搜狐帐号信息，那么请你小心咯。
唉，网络时代里，我为鱼肉，人为刀俎。
还好，我建议我同事不要对其邮件及博客做任何的修改。
算她走运，遇到我们这样的好人了。
插入表情