漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-018791
漏洞标题：TCL官方商城存在调试信息泄露注射及后台绕过漏洞
相关厂商：TCL官方商城
漏洞作者： 白加黑
提交时间：2013-02-17 17:17
修复时间：2013-04-03 17:17
公开时间：2013-04-03 17:17
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：18
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-02-17： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-04-03： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
家里前段时间想买个电视，看来看去的不知道哪个好，便宜的吧，都无货，估计又是在搞价格战；贵的吧，买不起，纠结啊。于是就去了TCL官方商城看看，有没有什么中意的。职业习惯所向，大家都懂的，只是我随便弄了几下（其实我还是个菜鸟），我就成了管理员，电子商务站的后台大家都懂的，我想“买”什么都可以，哈哈哈(其实也就YY了一会，可不敢这么干，毕竟这年干什么都不易，TCL也不能看着库空，不进账啊~)
详细说明：
打开提TCL官方商城，看上一款电视，甚是喜欢啊
http://shop.tcl.com/ProductDetail/index/id/2056.html
看着不过瘾，于是咱就再看看，反正“看”电视也不要钱，哪个好看哪个。正在“看”的时候，看到这个页面
http://shop.tcl.com/Product/lists/id/41/filter_attr/3261.0.0.0.0
职业病复发，单引号之~~
这怎么这么像传说中ecshop？？
找后台~
随便输入了一个，然后我就不敢相信这是真的~~~
看吧，我都不敢看了，就和银行卡里突然多了几个0似的
上了后台，弄个后门什没么，这个电子商务站，业务安全才是最重要的，如果有一天查账，发现账户里没有实际卖出的那么多的时候，电子商务商该傻眼了~
唉，还好碰上我这么善良的淫，万一我手指一动，没准一大批电视机已经在发往“李东生”的办公室了~~
漏洞证明：
上了后台，大家都懂
上了后台，弄个后门什没么，这个电子商务站，业务安全才是最重要的，如果有一天查账，发现账户里没有实际卖出的那么多的时候，电子商务商该傻眼了~
修复方案：
1、关闭debug调试模式
2、严格过滤用户输入
3、强加密
4、最好不要使用admin等常用的管理员账号
5、更改后台地址，防止被猜解
6、（题外话）注意业务安全，请及时查货点账!!!
版权声明：转载请注明来源 白加黑@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝