漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-086921
漏洞标题：民生电商某APP安全问题集合
相关厂商：民生电商
漏洞作者： 爱上平顶山
提交时间：2014-12-12 15:31
修复时间：2015-01-26 15:32
公开时间：2015-01-26 15:32
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-12： 细节已通知厂商并且等待厂商处理中
2014-12-12： 厂商已经确认，细节仅向厂商公开
2014-12-22： 细节向核心白帽子及相关领域专家公开
2015-01-01： 细节向普通白帽子公开
2015-01-11： 细节向实习白帽子公开
2015-01-26： 细节向公众公开
简要描述：
...
详细说明：
民生电商
http://temai.minshengec.com/ 民生社区
下载APP客户端
APK反编译 dex2jar-9.15 等
1、源码泄露
代码未进行混淆
2、内部地址泄露
3、部分地址访问
http://xqmobile.minshengec.com/productionport/preorderreview.jhtml?token=b457cb697e63c64beb537ad4e88a90ce×tamp=1417658530&loginToken=0dce8a6dece60e266ca026e71ad0f820&jsons={%22productArray%22%3A[{%22productId%22%3A%2220%22%2C%22sellNum%22%3A%222%22}]}&cyId=130
http://xqmobile.minshengec.com/javax.faces.resource.../WEB-INF/web.xml.jsf
4、各种越权
手机截图麻烦 不上图了 自查~
ok。。。
漏洞证明：
···
修复方案：
改~
版权声明：转载请注明来源 爱上平顶山@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-12-12 16:16
厂商回复：
非常感谢你帮助
最新状态：
暂无