当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0112826

漏洞标题：饿了么某接口可撞库轻松获取大量账号（可消费用户余额和积分）

相关厂商：饿了么

漏洞作者： 鸟云厂商

提交时间：2015-05-08 12:28

修复时间：2015-06-22 13:10

公开时间：2015-06-22 13:10

漏洞类型：应用配置错误

危害等级：高

自评Rank：12

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-05-08： 细节已通知厂商并且等待厂商处理中
2015-05-08： 厂商已经确认，细节仅向厂商公开
2015-05-18： 细节向核心白帽子及相关领域专家公开
2015-05-28： 细节向普通白帽子公开
2015-06-07： 细节向实习白帽子公开
2015-06-22： 细节向公众公开

简要描述：

饿了么某接口可撞库轻松获取大量账号（可消费用户余额和积分）

详细说明：

http://napos.ele.me/login
饿了么餐厅后台管理系统
没有验证码可以撞库可以爆破
以下是简单尝试出来的部分弱口令用户，密码123456

mask 区域 
*****ing*****
*****ie*****
*****wei*****
*****ia*****
*****un*****
*****in*****
*****aoq*****
*****qi*****
*****gn*****
*****ao*****
*****cha*****
*****uh*****
*****ong*****
*****ian*****
*****nl*****
*****201*****
*****gxi*****
*****pp*****
*****yu*****
*****jj*****
*****ia*****
*****ha*****
*****gt*****
*****ste*****
*****oh*****
*****ui*****
*****ing*****
*****hai*****
*****hij*****
*****eng*****
*****ji*****
*****gl*****
*****iao*****
*****nw*****
*****nji*****
*****ing*****
*****cha*****
*****hi*****
*****uan*****
*****xia*****
*****bo*****
*****ime*****
*****oqi*****
*****wei*****
*****nj*****
*****yao*****
*****hi*****
*****yi*****
*****hen*****
*****lu*****
*****ut*****
*****hui*****
*****lan*****
*****che*****
*****g
*****
*****aoji*****
*****dan*****
*****ia*****
*****cu*****
*****.l*****
*****fa*****
*****qi*****
*****sh*****
*****he*****
*****ra*****
*****tao*****
*****uj*****
*****in*****
*****ta*****
*****yi*****
*****tt*****
*****wj*****
*****on*****
*****hui*****
*****tw*****
*****ei*****
*****ji*****
*****yu*****
*****ng*****
*****ng*****
*****xua*****
*****ian*****
*****pe*****
*****uan*****
*****lin*****
*****gx*****
*****gb*****
*****ju*****
*****gj*****
*****ian*****
*****en*****
*****iju*****
*****ngti*****
*****uhu*****
*****and*****
*****iul*****
*****ian*****
*****yi*****
*****ong*****
*****234*****
*****gh*****

漏洞证明：

在主站登录几个试试

66F147A6-2CD2-479D-8A19-583EDF71FCB1.png


屏幕快照 2015-05-08 上午11.58.31.png


屏幕快照 2015-05-08 上午11.59.03.png


修复方案：

版权声明：转载请注明来源 鸟云厂商@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：7

确认时间：2015-05-08 13:09

厂商回复：

之前有白帽子提交过此漏洞，由于开发人员修复时间问题现在还在整改中。感谢你对饿了么的关注。

最新状态：

暂无