漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0136994
漏洞标题：大麦票务网站疑似会员数据泄露总量达到上百万
相关厂商：大麦网
漏洞作者： Alsn
提交时间：2015-08-26 08:39
修复时间：2015-10-10 13:24
公开时间：2015-10-10 13:24
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-08-26： 细节已通知厂商并且等待厂商处理中
2015-08-26： 厂商已经确认，细节仅向厂商公开
2015-09-05： 细节向核心白帽子及相关领域专家公开
2015-09-15： 细节向普通白帽子公开
2015-09-25： 细节向实习白帽子公开
2015-10-10： 细节向公众公开
简要描述：
去了一个社工库论坛，于是看到了大麦数据库，下载下来看看 于是就有了下面的内容！！！！
详细说明：
首先说明，大麦网站会员数据的库子并不是我拖的，我是在一个社工库论坛所见到，然后下载下来，供大麦官方认证下是否是大麦网站的会员数据！！！！如果是，希望大麦官方可以认真对待这个事件，如果不存在，那么就当我没提交过此漏洞！！！
漏洞证明：
1.首先我们访问大麦官方（www.damai.cn)这是他的官方网站。首先我们访问下！
2.看下我在社工库一个网站下载的数据。
3.先解开MD5
4.我们尝试登录
我们可以看到很多东西，下面截图证明。
有可能有人说 就这一个怎么能证明呢？那我们继续测试！
测试就到这里，希望大麦网认真对待！
会员数据，泄露了手机号，订单，收货地址等。
下面提供一些大麦网会员数据供大家验证 也供厂商验证！！！
zhongzhan@yahoo.cn zhongzhan 纪小展
708822732@qq.com langmanfeiyang 玥宁
365128423@qq.com 082218 夏艳晴
三个够了吧 大家测试吧！！！
修复方案：
其实做为一名普通的白帽子，我很想对厂商说一句话，白帽子挖洞不容易，不要把我们的挖洞那辛勤的汗水辜负了，看到的漏洞，希望厂商认真对待，我们挖洞不容易，我相信厂商知道我说的什么意思。漏洞就算忽略了，感觉问题不大也要补上，补总比不补强，把网站变的安安全全的，这就是厂商需要做的。说的有点多，只是希望，厂商能认真对待网站的不足！
修复方案：通知大麦网站会员更改密码！谢谢！！！
版权声明：转载请注明来源 Alsn@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-08-26 13:22
厂商回复：
感谢提供的信息
最新状态：
暂无