漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-033840
漏洞标题：移联电商存在远程命令执行漏洞导致官方站点大量数据泄漏
相关厂商：移联电商
漏洞作者： 一只猿
提交时间：2013-08-08 16:02
修复时间：2013-09-22 16:03
公开时间：2013-09-22 16:03
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-08： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-09-22： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
系统root+数据库root+明文+大量数据库泄露+大量用户和商家信息泄露（多图），后果很严重
详细说明：
注释信息泄露了另外一个数据库地址，仍然可以连接，而且还是root，大量数据库泄露，规模堪称宏大，还有各种有明文
漏洞证明：
地址：http://book.yilianapp.com/index.action
二话不说看下裤子的配置
连接
拿管理
看用户
尝试一下远程连接数据库
各种明文有没有，信息量太大有没有
你以为这样就完了吗？呵呵，走起
继续往下走
看内裤的配置
尝试连接注释中暴露的地址
尝试远程连接
看裤子列表，吓尿了
选择性的查询一下
呵呵，裤子没动，求个礼物行吗？
修复方案：
相信你们比我专业的多
版权声明：转载请注明来源 一只猿@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝