当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0101005

漏洞标题：上海汇付金融服务有限公司某配置不当一枚

相关厂商：上海汇付金融服务有限公司

漏洞作者： 爱上平顶山

提交时间：2015-03-16 11:27

修复时间：2015-05-02 14:10

公开时间：2015-05-02 14:10

漏洞类型：系统/服务运维配置不当

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-03-16： 细节已通知厂商并且等待厂商处理中
2015-03-18： 厂商已经确认，细节仅向厂商公开
2015-03-28： 细节向核心白帽子及相关领域专家公开
2015-04-07： 细节向普通白帽子公开
2015-04-17： 细节向实习白帽子公开
2015-05-02： 细节向公众公开

简要描述：

汇付金融

详细说明：

汇付金融
1、配置不当
站：bbs.ttyfund.com 你们的~
http://bbs.ttyfund.com/uc_server/data/config.inc.php.bak

<?php 
define('UC_DBHOST', 'localhost');
define('UC_DBUSER', 'admin');
define('UC_DBPW', 'tt***#');
define('UC_DBNAME', 'ul***x');
define('UC_DBCHARSET', 'utf8');
define('UC_DBTABLEPRE', 'ttyb***nter_');
define('UC_COOKIEPATH', '/');
define('UC_COOKIEDOMAIN', '');
define('UC_DBCONNECT', 0);
define('UC_CHARSET', 'utf-8');
define('UC_FOUNDERPW', '1cb7f0a7c6ce263***5442ea6f1');
define('UC_FOUNDERSALT', 'Gb89eb');
define('UC_KEY', 'nbj9ab1eW0X575Zbwfk5g6L2z0FcEcX1X3O0p6DdJbGfp9CaH45***');
define('UC_SITEID', 'Kbo9vbBem0m5J5jbSfO5A6l2Z0ecHca1u3w0L6Xdzbpff9CaN4ffZ7***');
define('UC_MYKEY', 'Ubn9UbFer0L595qbMfM5q6a2f0hcacK1w310k6ad3bOfp9IaS44fK7G***');
define('UC_DEBUG', false);
define('UC_PPP', 20);


怎么用？ 参考： WooYun: 途牛网某服务配置失误 导致论坛敏感文件泄露(致使百万用户信息告急)
2、
http://www.ttyfund.com/api/mobile/api/averagerate.php
路径：
Warning: mysql_fetch_array() expects parameter 1 to be resource, boolean given in /app/www/htdocs/api/mobile/api/averagerate.php on line 30
Warning: mysql_fetch_array() expects parameter 1 to be resource, boolean given in /app/www/htdocs/api/mobile/api/averagerate.php on line 30
3、打包：
http://www.ttyfund.com/tools.tar.gz
还有 http://bbs.ttyfund.com/tools.php 可爆破 没用的话 删了。

漏洞证明：

···

修复方案：

改·

版权声明：转载请注明来源 爱上平顶山@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2015-03-18 14:09

厂商回复：

确认并修复

最新状态：

2015-04-27：已修复