漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0150948
漏洞标题：从不堪电话诈骗骚扰终于挖出苏宁用户信息泄露漏洞（白帽子亲身经历）
相关厂商：江苏苏宁易购电子商务有限公司
漏洞作者： 路人甲
提交时间：2015-10-31 22:13
修复时间：2015-12-19 16:06
公开时间：2015-12-19 16:06
漏洞类型：用户资料大量泄漏
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-10-31： 细节已通知厂商并且等待厂商处理中
2015-11-04： 厂商已经确认，细节仅向厂商公开
2015-11-14： 细节向核心白帽子及相关领域专家公开
2015-11-24： 细节向普通白帽子公开
2015-12-04： 细节向实习白帽子公开
2015-12-19： 细节向公众公开
简要描述：
自从9.17从苏宁实体店购买几个大电器后，不久就接到几个+4008365365诈骗电话，到现在为止已接到3拨骗子诈骗电话。终于白帽子不堪电话诈骗骚扰，挖出苏宁信息泄露漏洞！！！原来个人订单信息这么容易就泄露啦！程序员该开除了！
详细说明：
首先，在实体店购买产品后，店员没经过我同意就把我的个人资料及订单注册上传到苏宁易购，导致密码我都不知道，只好用手机找回密码，登陆后台，来看看苏宁是怎样出卖我们个人订单信息的！
进入订单中心后，以我帐号为例，地址是：http://www.suning.com/webapp/wcs/stores/servlet/MyOrder?storeId=10052&catalogId=10051&otherOrder=1
出现了我的产品订单：
然后点击查看详情，就会出现订单详细信息，包含订单时间、收货人姓名、联系电话、收货地址、支付及配送方式、发票信息、订单金额等资料。经过修改网址参数多次实验，发现漏洞很大，一个简单的网址就可以把订单详情显示出来，要是写个脚本跑数据，肯定有的订单都出来。漏洞地址：http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=（修改数字参数，可出现不同订单详情）
举例：http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000279131109
http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000279131219
http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000276131219
http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000276231219
http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000176231219
http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000156231219
……………………………………
个人信息改改数字就出来，对骗子来说多么方便啊！怪不得骗子这么猖狂！！！
https://www.baidu.com/s?wd=4008365365%E8%AF%88%E9%AA%97 看看多少受害者
我也是受骚扰用户之一！！！不知道是多少万分之一啊！
漏洞证明：
进入订单中心后，以我帐号为例，地址是：http://www.suning.com/webapp/wcs/stores/servlet/MyOrder?storeId=10052&catalogId=10051&otherOrder=1
出现了我的产品订单：
然后点击查看详情，就会出现订单详细信息，包含订单时间、收货人姓名、联系电话、收货地址、支付及配送方式、发票信息、订单金额等资料。经过修改网址参数多次实验，发现漏洞很大，一个简单的网址就可以把订单详情显示出来，要是写个脚本跑数据，肯定有的订单都出来。漏洞地址：http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=（修改数字参数，可出现不同订单详情）
举例：http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000279131109
http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000279131219
http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000276131219
http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000276231219
http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000176231219
http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000156231219
……………………………………
个人信息改改数字就出来，对骗子来说多么方便啊！怪不得骗子这么猖狂！！！
https://www.baidu.com/s?wd=4008365365%E8%AF%88%E9%AA%97 看看多少受害者
发个公告几个人能看到呢？http://club.suning.com/forum.php?mod=viewthread&tid=2260494&extra=page%3D1%26filter%3Dtypeid%26typeid%3D1609%26typeid%3D1609
修复方案：
程序猿比我懂！家里还缺台空调，苏宁这么有钱，看着办吧！
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-11-04 16:04
厂商回复：
感谢提交，问题确认，找程序猿紧急修复。
最新状态：
暂无