2015-05-05: 细节已通知厂商并且等待厂商处理中 2015-05-05: 厂商已经确认,细节仅向厂商公开 2015-05-15: 细节向核心白帽子及相关领域专家公开 2015-05-25: 细节向普通白帽子公开 2015-06-04: 细节向实习白帽子公开 2015-06-19: 细节向公众公开
宜人贷某处配置不当可导致数据库账号密码等敏感信息泄露
svn漏洞 http://z.yirendai.com/.svn/entries
所有PHP文件都可以下载查看源代码
配置文件泄露内网地址 数据库账号密码
<?phpdefined('THINK_PATH') or exit();return array( 'DB_TYPE' => 'mysql', // 数据库类型 'DB_HOST' => '10.150.42.41', // 服务器地址 'DB_NAME' => 'umbrella', // 数据库名 'DB_USER' => 'umbrella', // 用户名 'DB_PWD' => 'MlfRgjRau5ZQitJZ', // 密码 'DB_PORT' => '3306', // 端口// 'MEMCACHE_HOST' => 'tcp://10.151.10.84:11211', 'MEMCACHE_HOST' => '10.151.10.131', 'yrd_service' => 'http://api.yirendai.com/', //宜人贷服务接口 'sys_key' => 'S_060', 'secret' => '9CnWY+vfSkw4hAf5KiuU4A==', 'pram_key' => 'vze5hzC5QIA6H1pn6BKcBQ==', 'yrd_web' => 'http://www.yirendai.com/', //宜人贷网站地址 'monitorUrl' => 'http://moniapp.yixin.com/',//异常检测地址// 'service' => 'http://app.yirendai.com/', 'service' => 'http://z.yirendai.com/ggk/', 'sendSecret' => 'deb829949e9aa60c57dcb27b518af21f',//推送秘钥 'sendUrl' => 'http://app.yirendai.com/ad/AppPush/rewardSend', //推送地址 'msgContent' => '亲爱的宜人贷用户,已收到您的兑奖申请,50元话费将于2015年1月15日前充值到您的手机账户。感谢您对宜人贷的支持!', 'secret_key' => 'zhongjian', 'startTime' => '2014-6-3',//刮刮卡活动开始时间 //加密秘钥 'endTime' => '2018-7-15',//刮刮卡活动结束时间 'shell_url' => 'http://z.yirendai.com/',//安布雷拉销售登录地址 'serverIp' => 'app.yirendai.com',//项目IP 'upload_path' => dirname(APP_PATH).'/Uploads', 'image_root' => dirname(APP_PATH).'/ggk/Static/', 'image_domain' => 'http://z.yirendai.com/ggk/Static/', // 'REDIS_HOST' => '10.151.10.85', 'REDIS_HOST' => '10.151.10.151', 'REDIS_PORT' => 6379, 'user_info' => array( //user_info个人信息 'borrowName' => '', //姓名 'idCard' => '', //身份证 'degree' => '-1', //最高学历 'marital' => '-1', //婚姻状况 'limitCreditCard' => '', //信用卡额度 'house' => '-1', //房产状况 'borrowerQQ' => '', //QQ 'hukouDistrict' => '', //户籍地址(地区编码) 'hukouDetailAddress' => '', //户籍地址(详细地址) 'homeDistrict' => '', //现居住地址(地区编码) 'homeDetailAddress' => '', //现居住地址(详细地址) 'workerCompanyName' => '', //工作单位名称 'workerCompanyTel' => '', //工作单位电话 'workerCompanyDistrict' => '', //工作单位地址(地区编码) 'workerDetailAddress' => '', //工作单位地址(详细地址) 'workingTime' => '', //在职时间 'department' => '', //所在部门 'position' => '', //担任职位 'workerCompanyType' => '', //单位性质 ), 'apply_info' => array( //apply_info借款信息 'borrowerMobile' => '', //手机号码 'borrowAmt' => '', //借款金额 'fee' => array( //产品费率信息 "borrowPeriod" => "", //借款期限 "borrowRate" => "0", //年利率 "month_fee" => "0", //月管理费 "once_fee" => "0", //放款管理费 ), //fee_list中的借款期限和利率的JSON对象(详见获取应用变量信息) 'borrowPurpose' => '-1', //借款用途 ), 'picture_info' => array( //picture_info上传资料 'identity_card_head_path_list' => array(), //身份证正面(图片URL的JSON数组) 'identity_card_back_path_list' => array(), //身份证反面(图片URL的JSON数组) 'bank_water_path_list' => array(), //工资流水(图片URL的JSON数组) 'credit_report_path_list' => array(), //信用报告(图片URL的JSON数组) ), 'contact_info' => array( //contact_info联系人信息 'familyContactRelation' => '-1', //家庭联系人与借款人关系 'familyContactMobile' => '', //家庭联系人电话 'familyContactName' => '', //家庭联系人姓名 'workContactRelation' => '-1', //工作联系人与借款人关系 'workContactMobile' => '', //工作联系人电话 'workContactName' => '', //工作联系人姓名 'otherContactRelation' => '-1', //其他联系人与借款人关系 'otherContactMobile' => '', //其他联系人电话 'otherContactName' => '', //其他联系人姓名 ), 'card_info' => array( //card_info银行卡信息 'userBankId' => '-1', //银行名称 'bankDetailName' => '', //开户行 'bankCity' => '', //开户行所在地(地区编码) 'bankAccountNo' => '', //卡号 'acceptMonthlyAmt' => '', //可接受最高月还款 ), 'status_info' => array( //用户状态信息 'status' => '-3', //主状态 'child_status' => '0', //子状态 'status_description' => '0', //流程状态提示信息 'loan_date' => '', //放款时间 'apply_date' => '', //用户提交申请的日期 'financing_progress' => '0', //投标进度 'financing_money' => '0', //已投标金额 'applyId' => '', //借款申请ID 'application_status' => '0', //借款信息完成进度 'user_status' => '0', //借款人信息完成进度 'contacts_status' => '0', //联系人信息完成进度 'data_status' => '0', //上传资料信息完成进度 'bankcard_status' => '0', //银行卡信息完成进度 'identity_card_head_path_list' => '0', //身份证正面(图片URL的JSON数组) 'identity_card_back_path_list' => '0', //身份证反面(图片URL的JSON数组) 'bank_water_path_list' => '0', //工资流水(图片URL的JSON数组) 'credit_report_path_list' => '0', //信用报告(图片URL的JSON数组) ), "fee_list" => array( array( "borrowPeriod"=>"12", "borrowRate"=>"10%", "month_fee"=>"0.330%", "once_fee"=>"0%" ), array( "borrowPeriod"=>"18", "borrowRate"=>"10.5%", "month_fee"=>"0.307%", "once_fee"=>"0%" ), array( "borrowPeriod"=>"24", "borrowRate"=>"11%", "month_fee"=>"0.284%", "once_fee"=>"0%" ), array( "borrowPeriod"=>"36", "borrowRate"=>"12%", "month_fee"=>"0.235%", "once_fee"=>"0%" ) ), 'return_code' => array( '100' => '系统正在维护中,请您稍后再试', '101' => '非法访问', '200' => '成功', '400' => '系统故障,请您稍后再试', '401' => '参数错误', '402' => '您的手机号已注册,请直接登录', '403' => '请您输入正确的电话号码', '404' => '验证失败,请重新获取', '405' => '验证码错误,请输入正确验证码',//'验证码错误', '406' => '注册失败,请您联系客服处理', '407' => '抱歉,您的年龄不符合22(含)-55周岁的申请条件', '408' => '您的身份信息有误或者已被使用',//'身份验证失败', '409' => '保存宜人贷出错', '410' => '系统故障,请稍后再试',//'用户名密码为空', '411' => '您填写的账户或密码有误,密码若忘记请到宜人贷网站找回',//'用户名密码错误', '412' => '您长时间未登录,请重新登录。', '413' => '验证码错误,请输入正确验证码', '414' => '邮箱登录,邮箱未激活', '415' => '账户锁定,请联系客服解决该问题', '416' => '账户异常,请联系客服解决该问题', '421' => '账户重复,请登录宜人贷网站或联系客服', '422' => '您非精英贷用户,请到宜人贷网站登录', '423' => '您已是宜人贷出借用户,不能在宜人贷借款', '424' => '您是宜人贷小企业主,请到宜人贷网站登录', '425' => '您是宜人贷学生用户,请到宜人贷网站登录', '430' => '写入数据库出错', '431' => '上传文件失败', '441' => '用户信息验证未通过', '442' => '用户提交审核失败', '443' => '降额操作失败', '444' => '重新借款操作失败', '450' => '系统暂时不支持还款业务', '451' => '放款当天不能还款',// '454' => '还款失败,充值到余额', '455' => '支付异常,需要后台查询', ), 'passport'=>array( 'host' => 'http://p.yixin.com/service', 'accessId' => 'php', 'privateKey' => '108139', 'clientId' => 'yx1', ), 'desc' => array( '27' => '正计划买房。本人收入稳定,信誉良好,望批准!谢谢!',//买房: '28' => '计划购车。本人收入稳定,无还款压力,望批准,谢谢!',//买车-: '29' => '正筹划结婚事宜,需要一部分周转资金,望批准!谢谢!',//结婚: '30' => '计划兼职创业,需要资金支持。本人收入稳定,信誉良好,望批准!',//兼职创业: '31' => '计划继续学习深造,需部分资金支持。本人工作稳定,信誉良好,望批准!谢谢!',//教育培训: '32' => '家里要购买家具等家居用品。本人工作稳定,信誉良好,望批准。',//家居: '33' => '房屋装修,急需借款,本人工作稳定,无还款压力,望批准!谢谢!',//装修-: '34' => '计划旅游,需周转资金。本人工作稳定,无还款压力,望批准!谢谢!',//旅游: '35' => '本人工作稳定,信誉良好。现急需这批资金救急,望能给予帮助,谢谢!',//医疗-: '36' => '日常消费需一部分资金。本人收入稳定,无还款压力,望批准!谢谢!',//日常消费: '37' => '资金周转。本人收入稳定,信誉良好,望批准!谢谢!',//偿还债务: '38' => '要做一些投资。本人工作稳定,信誉良好,望批准!谢谢!',//投资: '39' => '本人工作稳定,信誉良好,无还款压力,望批准!谢谢!',//其他: ), 'familyContactRelation' => array( '0' => '父母', '1' => '配偶', '2' => '子女', ), 'workContactRelation' => array( '0' => '同事', '1' => '人事(HR)', ), 'otherContactRelation' => array( '0' => '同学', '1' => '老师', '2' => '朋友', '3' => '其他', ), 'connection_op' => array( 'db_type' => 'mysql', 'db_user' => 'umbrella', 'db_pwd' => 'MlfRgjRau5ZQitJZ', 'db_host' => '10.150.42.41', 'db_port' => '3306', 'db_name' => 'umbrella' ), 'debt' => array( '0' => "系统正在处理您前一笔还款,请5分钟之后再试。", '1' => "当前处在划扣期间,无法进行在线还款", '2' => "抱歉,系统在23:30-4:00期间不可进行还款。", '3' => "程序异常,无法还款,请重新登陆再试。", '4' => "您非宜人贷借款用户。", '5' => "放款成功!放款当天不能还款。", '6' => "您的借款处于减免罚息处理中,请到网站进行还款", ), 'weixin' => array( 'appid' =>'wx237b223ad5773cf5', 'secret' =>'da5b728798ca518c51a578ee58a61b25', 'noncestr' =>'aiyamayahaha', //随机字符串 'token_url' =>'https://api.weixin.qq.com/cgi-bin/token', //获取token地址 'ticket_url' =>'https://api.weixin.qq.com/cgi-bin/ticket/getticket', //获取ticket地址 'js_sdk' =>'http://res.wx.qq.com/open/js/jweixin-1.0.0.js' ));?>
更改配置
危害等级:中
漏洞Rank:10
确认时间:2015-05-05 18:28
感谢,系研发私自修改NGINX目录限制导致,已修改,同时禁止研发使用SVN COPY
暂无