漏洞详情

披露状态:

2014-03-30: 细节已通知厂商并且等待厂商处理中
2014-03-31: 厂商已经确认,细节仅向厂商公开
2014-04-10: 细节向核心白帽子及相关领域专家公开
2014-04-20: 细节向普通白帽子公开
2014-04-30: 细节向实习白帽子公开
2014-05-14: 细节向公众公开

简要描述:

嗨淘网某站由于应用程序配置不当,导致可泄漏百万用户信息,可致使嗨淘损失N多N多!!
影响整个业务系统的运转!百年难得一见的漏洞…………

重要突破还是依赖好基友 @乌云厂商 !!

详细说明:

PS:wooyun漏洞审核的童鞋,请联系好处理的厂商之后,再进行审核确认,这漏洞太明显了,免得被其它童鞋看到标题之后各种渗透!



Google site:hitao.com 发现蛋碎的百年难得一见的漏洞!查看源代码居然能看到N多管理的帐号密码电话等,如图:

1.jpg



2.jpg



100多位管理帐号+员工+供应商之类的帐号邮箱电话信息,批量解密CMD5,获得26位,其中有超级管理员可成功登录仓库管理系统(http://shopware.hitao.com) 如图:

3.jpg



可修改操作订单,库存等等,严重影响业务系统运转。

继续渗透,成功用其它帐号登录ERP管理系统(http://erp.hitao.com/),同样是超级管理员,ERP管理系统功能太全面了,如图,可导出120多万用户的详细信息(淘宝ID,电话,姓名,地址):

120W会员.jpg



财务管理.jpg



.jpg



能够导出100多W用户的信息,未测试;能够修改订单等等,能够让整个运营支持系统出现问题!泄漏各种财务信息。

漏洞证明:

再来几张图,未继续深入了,如图:



.jpg



.jpg

修复方案:



1,多么坑的程序员啊?为何会把帐号和密码放到前端源代码中?

2,检查一下是否被脱裤了吧?有上传点,未进行测试,怕影响较大!



为阿里500W奖励计划而来,不知道跑偏没?^_^

版权声明:转载请注明来源 her0ma@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:12

确认时间:2014-03-31 18:09

厂商回复:

感谢你对我们的支持与关注,该问题我们正在修复中!

最新状态:

暂无


漏洞评价: