漏洞详情

披露状态:

2014-02-19: 细节已通知厂商并且等待厂商处理中
2014-02-19: 厂商已经确认,细节仅向厂商公开
2014-02-22: 细节向第三方安全合作伙伴开放
2014-03-01: 细节向核心白帽子及相关领域专家公开
2014-03-11: 细节向普通白帽子公开
2014-03-31: 细节向实习白帽子公开
2014-05-20: 细节向公众公开

简要描述:

ShopNC在前台的用户隐私信息防护做得很好,但忽略了一处api的防护,导致漏洞产生

漏洞可直接获取包含用户订单详情的json字符串

详细说明:

使用官方商城做演示(http://www.shopnctest.com/c2c/2013/test/ 用户名shopnc 密码shopnc)



url:http://www.shopnctest.com/c2c/2013/test/mobile/28aeb56bf14c9a5f826f8ad65bc6d7f0.php?commend=order_detail&order_id=570

oder_id变量可遍历



正确返回是这样的:

QQ截图20140104150450.png





这其中也包含了用户地址信息,还有订单信息,比如购买商品及数量,总价等等

漏洞证明:

QQ截图20140104150450.png





PS.那一长串的接口地址,可以从手机客户端中抓包搞到,我估计是默认就是这个,测试了一个商城也是这个地址

修复方案:

面向手机客户端的api也要做鉴权

版权声明:转载请注明来源 飞黎@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2014-02-19 08:59

厂商回复:

谢谢,漏洞已经修复

最新状态:

暂无


漏洞评价: