漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-032334
漏洞标题：加多宝某奖品活动网站备份文件下载
相关厂商：加多宝
漏洞作者： xlz0iza1
提交时间：2013-07-25 23:15
修复时间：2013-09-08 23:16
公开时间：2013-09-08 23:16
漏洞类型：用户资料大量泄漏
危害等级：中
自评Rank：8
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-07-25： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-09-08： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
泄露网站信息管理员密码和网站源码 SA密码。
这是活动网址：http://xzq.wlj-china.com/
详细说明：
网站备份文件下载地址：http://xzq.wlj-china.com/12.rar
网站web.config配置文件
<add key="scope" value="publish_feed publish_share read_user_feed status_update send_request"/>
</RenRen>
</OAuthConnector>
<appSettings>
<add key="Tableprefix" value="EWMS_"/>
<add key="Dbtype" value="SqlServer"/>
<add key="FCKeditor:BasePath" value="~/Editor/fckeditor_admin/"/>
<add key="FCKeditor:UserFilesPath" value="~/Files/FCKupfiles"/>
<add key="DAL" value="JiaDuoBao.DataBase"/>
<add key="UserName" value="admin"/>
<add key="PassWord" value="97A71DEBCA90DB23B5AA06642FCC91B7"/>
<add key="EKEnterpriseConnString" value="server=10.4.1.226;uid=sa;pwd=imagtion;database=JiaDuoBaoDB;"/>
<add key="maxwish" value="10"/>
<add key="pagsize" value="10000"/>
<add key="3des" value="MzI0OGNkemR5NzNxNjNxNzINMjMxMzI0"/>
<add key="Upload_Path" value="/Upload/"/>
<add key="ActivityId" value="fa1506f3-29e6-4401-affe-c803b5160bd0"/>
<!--<add key="ActivityId" value="050f29ae-064f-45c1-95a8-3f450bad870e"/>-->
<add key="ActionId" value="b02160a1-6f98-48bb-bb71-17dbabf4c594"/>
后台地址：http://xzq.wlj-china.com/admin_wlj/Index.aspx
进入后台可以任意修改奖品发放哦。
漏洞证明：
用户数据。
修复方案：
删除备份文件,修改后台管理员地址账号密码。
版权声明：转载请注明来源 xlz0iza1@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝