漏洞详情

披露状态:

2014-02-10: 细节已通知厂商并且等待厂商处理中
2014-02-15: 厂商已经确认,细节仅向厂商公开
2014-02-25: 细节向核心白帽子及相关领域专家公开
2014-03-07: 细节向普通白帽子公开
2014-03-17: 细节向实习白帽子公开
2014-03-27: 细节向公众公开

简要描述:

happy new year

详细说明:

用户姓名,联系方式,家庭住址,物流情况,产品信息都有......

1.http://www.189.cn/dqmh/virtualStation/virtualMyOrderInfo.do?method=myOrderInfo&orderId=000000000000008320130624401048



2.http://www.189.cn/dqmh/virtualStation/virtualMyOrderInfo.do?method=myOrderInfo&orderId=000000000000008320130626485753&forderid=000000000000008320130626485753



3.http://www.189.cn/dqmh/virtualStation/virtualMyOrderInfo.do?method=myOrderInfo&orderId=000000000000008320130624405756



4.http://www.189.cn/dqmh/virtualStation/virtualMyOrderInfo.do?method=myOrderInfo&orderId=600104833000008320130619256383



5.http://www.189.cn/dqmh/virtualStation/virtualMyOrderInfo.do?method=myOrderInfo&orderId=600104833100008320130620282945



等等......

漏洞证明:

orderID值没有控制好,目测这些orderID,应该是可以遍历的



1.jpg



2.jpg



4.jpg



5.jpg



6.jpg



3.jpg



修复方案:

你们懂得

版权声明:转载请注明来源 adm1n@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:11

确认时间:2014-02-15 09:45

厂商回复:

最新状态:

暂无


漏洞评价: