漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-069708
漏洞标题：大朴网越权之修改任意用户订单
相关厂商：大朴网
漏洞作者： PythonPig
提交时间：2014-07-26 22:36
修复时间：2014-09-09 22:38
公开时间：2014-09-09 22:38
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-26： 细节已通知厂商并且等待厂商处理中
2014-07-31： 厂商已经确认，细节仅向厂商公开
2014-08-10： 细节向核心白帽子及相关领域专家公开
2014-08-20： 细节向普通白帽子公开
2014-08-30： 细节向实习白帽子公开
2014-09-09： 细节向公众公开
简要描述：
听说大朴网不错，东西用起来很舒服，而且大朴网来乌云了，发现了个小问题，越权之修改任意用户订单
如果我把订单的收货人改成Finger或者疯狗或者xsser再或者肉肉，那你们岂不是赚到了？
详细说明：
说在前面：上个漏洞忘记说了，下面的账号都是用来测试的，没有取消和修改他人的正常订单，测试过程没有影响任何用户
0x00：大朴网的订单号是这样的：20140725XXXXXX当前时间加后面6个数字，如果坏孩子想得到大朴网一天内的所有订单，只要修改后面的6位数字就可以了，这样就可以遍历所有订单了，工具跑的话，也就一个小时左右就能搞定了。
0x01:进入正题。进入自己的账号，下个订单，然后单击“修改”还是看图吧，更直观，下图是订单修改前样子
然后开始修改自己的订单内容（包括收货人，电话，地址等）
然后点击确定抓包，修改，把图中order_id改为其他人的订单号，然后就成功修改了他人的订单
0x02:见证奇迹的时刻到了，可以看到，别人的订单内容被成功修改了
漏洞证明：
见详细说明
修复方案：
服务端验证
版权声明：转载请注明来源 PythonPig@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2014-07-31 09:45
厂商回复：
感谢对漏洞的提醒
最新状态：
暂无