漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0153813
漏洞标题：约单APP某漏洞导致可泄露大量用户敏感信息
相关厂商：约单
漏洞作者： whosec
提交时间：2015-11-19 19:11
修复时间：2016-01-11 15:32
公开时间：2016-01-11 15:32
漏洞类型：XSS 跨站脚本攻击
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-11-19： 积极联系厂商并且等待厂商认领中，细节不对外公开
2016-01-11： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
约单APP是国内最大的时间交易平台，中国版的Thumbtack，您可以出售您的时间，比如可以陪看电影，陪跑步等，同时您也可以提供技能服务，比如上门按摩，模特外拍，瑜伽、外语等培训等。
详细说明：
约单APP是国内最大的时间交易平台，中国版的Thumbtack，您可以出售您的时间，比如可以陪看电影，陪跑步等，同时您也可以提供技能服务，比如上门按摩，模特外拍，瑜伽、外语等培训等。
平台已融资5000万
前几天，女神告诉我她在玩一个APP。我发现她竟然和别人经常约会，让我很生气。双11的晚上我还在打飞机，今天就看到她和别人在约会。根本让我这个屌丝受不了，于是决定上去看看到底是什么人在约我的女神。
漏洞证明：
这是一个漏洞集合报告，希望rank能高一点，由于怕影响系统正常运营和查水表，没有进一步shell和提权。
漏洞一:任意用户密码重置漏洞
手机下载客户端。抓包，密码重置处。
客户端POST两个包，第二个里面就会有你想要的验证码。
Mobile参数填入你女神的手机。
![V_%KH)]T2XX~`OY0B8RS%EG.png](https://w.hundan.org/articles/attach/201511/130147061471a5351dada11d57dcc594ceda3433.png)
Checkcode 你懂的。
![1_CM45TKM404KANK]1~O9@N.png](https://w.hundan.org/articles/attach/201511/13014751d2fab70e5466f3117902bc0e623ed0f4.png)
这时候你就可以修改你女神的密码。然后去看看女神最近跟什么人在约了，她有什么需求。你都知道了。
漏洞二：注册验证码和重置密码验证码可以爆破，没什么技术含量
具体细节就不说了。 测试了个13888888887 密码12345678
恩，这号的主人才是真土豪~~~！~~~~~
漏洞三。
多处XSS
因为实在太多，基本只要是提交到后台的文本框都可以，不一一贴了
又TM没钱赚。免费做了个测试。。
自然，后台就来了
这么多用户…
好多美女模特啊！！！！！！！！！！！！！！！！！！！！电话，照片，地址你全都可以有啊~
筛选一下，只要模特，要漂亮的
我稍微找了个漂亮的小妹妹，截图了下。你们自行YY。
最牛逼的来了~~~
修改更新地址，APK。124万肉鸡就尼玛来了！！。
声明:没有复制任何资料，没有进行任何危害操作，没有dump任何数据。没有上传任何文件。友(kan)情(kan)检(mei)测(zi)，就(zhuang)是(ge)这(xiao)样(B)。
我真希望这是个好厂商，能正视安全问题。比如立(gei)即(dian)修(li)复(wu)。
修复方案：
跟开发沟通下，过滤下就好。不过还有很多小问题。5000万互联网企业是不应该缺乏安全团队的~~
版权声明：转载请注明来源 whosec@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：15 (WooYun评价)