漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0119349
漏洞标题：苏宁某站企业信息泄露(推广+结算+报表等)
相关厂商：江苏苏宁易购电子商务有限公司
漏洞作者： diguoji
提交时间：2015-06-10 11:11
修复时间：2015-07-25 11:48
公开时间：2015-07-25 11:48
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-10： 细节已通知厂商并且等待厂商处理中
2015-06-10： 厂商已经确认，细节仅向厂商公开
2015-06-20： 细节向核心白帽子及相关领域专家公开
2015-06-30： 细节向普通白帽子公开
2015-07-10： 细节向实习白帽子公开
2015-07-25： 细节向公众公开
简要描述：
企业内部推广等信息
详细说明：
https://github.com/****/doc/blob/b7e83d64e0bcbe****18947533336bd7b96c93/%E9%A1%B9%E7%9B%AE%E7%AE%A1%E7%90%86/%5B03%5D%E5%90%88%E4%BD%9C%E6%B8%A0%E9%81%93/%E4%B8%9A%E5%8A%A1%E6%8E%A5%E5%8F%A3/%5B04%5D%E5%B7%B2%E5%AF%B9%E6%8E%A5%E6%B8%A0%E9%81%93/%E5%95%86%E5%9F%8E%E5%AF%B9%E6%8E%A5/%E8%8B%8F%E5%AE%81%E6%98%93%E8%B4%AD/url.txt
企业会员账号 密码
http://union.suning.com/aas/index/index!input.action
用户名：通付宝 密码：tfbpay.cn
ftp://unionfile.suning.com/
账户 ftp1343832
密码 ftp1343832
http://union.suning.com/aas/open/vistorAd.action?userId=1343832&webSiteId=0&adInfoId=2&adBookId=0&channel=11&vistURL=http://m.suning.com/&subUserEx=123
漏洞证明：
另外FTP可爆破
做的以userid和企业用户名 做FTP用户名
100多万个厂商多花时间是可以爆出FTP企业内部的，选取了1000多个userid做用户名尝试
修复方案：
版权声明：转载请注明来源 diguoji@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2015-06-10 11:46
厂商回复：
感谢提交，稍后送上苏宁易购礼品卡。
最新状态：
暂无