漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0110586
漏洞标题：宅急送后台权限认证不严谨导致可读取、修改、删除三十一万客户资料
相关厂商：zjs.com.cn
漏洞作者： 路人甲
提交时间：2015-04-29 10:24
修复时间：2015-07-29 14:36
公开时间：2015-07-29 14:36
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：7
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-04-29： 细节已通知厂商并且等待厂商处理中
2015-04-30： 厂商已经确认，细节仅向厂商公开
2015-05-03： 细节向第三方安全合作伙伴开放
2015-06-24： 细节向核心白帽子及相关领域专家公开
2015-07-04： 细节向普通白帽子公开
2015-07-14： 细节向实习白帽子公开
2015-07-29： 细节向公众公开
简要描述：
宅急送后台权限绕过,三十一万客户信息泄漏，可更改任意帐号信息以及密码
详细说明：
http://www.zjs.com.cn/IntegalAdmin/UserManage.aspx
此页面没有检测登录状态，可获取所有注册帐号信息。
试着修改客户信息，发现没有权限，返回前台注册一个帐号
http://www.zjs.com.cn/WS_Business/reg.aspx?Id=5
然后登录
http://www.zjs.com.cn/WS_Business/WS_CustomLogin.aspx
登录后返回刚才的后台管理界面，可绕过权限，修改或删除客户信息。甚至可修改或删除管理员。
估计是前台登录系统和后台登录系统公用一个cookies或session 没有深入研究
这是我刚注册的帐号
另：http://www.zjs.com.cn/IntegalAdmin/Default.aspx
真是宅急送礼品后台，上述操作后同样拥有权限。
漏洞证明：
http://www.zjs.com.cn/IntegalAdmin/UserManage.aspx
修复方案：
基本的权限检测。把前台用户登录权限和后台管理员权限分开
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2015-04-30 14:35
厂商回复：
此漏洞为废弃系统下残存功能，已做彻底删除。感谢路人甲给予的关注和分析报告，我们非常感激！
最新状态：
2015-04-30：该漏洞是由一个已经废弃的功能所导致，现已完全修复。该废弃功能对应的只是曾经注册过的账号，并非导致可读取、修改、删除三十一万客户资料。宅急送始终关注自身信息安全建设和防护，感谢对宅急送的支持和帮助!