漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2016-0194464
漏洞标题:当当网某漏洞影响15年1月1号至今数千万快递信息(收货人姓名/手机号/详细家庭住址已在贩卖)
相关厂商:当当网
漏洞作者: getshell1993
提交时间:2016-04-10 09:14
修复时间:2016-05-26 10:10
公开时间:2016-05-26 10:10
漏洞类型:后台弱口令
危害等级:高
自评Rank:20
漏洞状态:厂商已经确认
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2016-04-10: 细节已通知厂商并且等待厂商处理中
2016-04-11: 厂商已经确认,细节仅向厂商公开
2016-04-21: 细节向核心白帽子及相关领域专家公开
2016-05-01: 细节向普通白帽子公开
2016-05-11: 细节向实习白帽子公开
2016-05-26: 细节向公众公开
简要描述:
看来问题要公开厂商才会重视
江苏省15年1月1号至今运单合计:5632290
全国23个省的话保守估计数千万甚至上亿(实时数据,含收货人姓名/手机号/详细家庭住址)
QQ群经常有人在售卖当当网数据……
详细说明:
起因 一个月前nosec平台上有人发了QQ群每天黑产在售卖当当网数据的威胁情报
https://nosec.org/my/threats/874
第二天晚上看了一下发现当当快递管理系统存在大量弱口令,可以获取到大量用户实时数据,跟搞黑产发的截图信息很相似,于是在nosec上补充了细节,武哥那边也通知了厂商。
……
隔了一个月时间,今晚再次看发现厂商修复了一部分,提供的部分弱密码改了,设置新密码也加强了密码强度,需要10位以上,但是旧的弱口令没排查,重置新密码后还是可以登录!想了想还是来乌云一发
http://ecadmin.ddexp.com.cn/ 当当快递系统
txtUsername=chenrui&txtPassword=chenrui123(登陆需要强制修改密码,改成1234qwer!@#$)
txtUsername=zhaopengfei&txtPassword=zhaopengfei123
txtUsername=huying&txtPassword=huying123
txtUsername=lizhidan&txtPassword=lizhidan123
txtUsername=yangting&txtPassword=yangting123
江苏省一个省份15年1月1号至今运单合计:5632290 后台支持一键导出excel表
这仅仅是一个省份的
打开其中一个看一下,含收货人姓名/手机号/详细家庭住址
漏洞证明:
然而订单的地方存在越权,可以进一步获取到全国当当的快递数据。
简单列举今晚其中几个省份的快递数据
江苏省 2016-4-9 21:35:34
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691944
湖北省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691967
安徽省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691999
陕西省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692094
广西省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692177
湖南省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692124
广东省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692230
山西省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692360
…………
不再一一列举
23省*500万,上亿数据都有可能。。
声明:好人一个,未动任何数据
修复方案:
赶紧下线处理吧。。
版权声明:转载请注明来源 getshell1993@乌云
漏洞回应
厂商回应:
危害等级:高
漏洞Rank:16
确认时间:2016-04-11 10:07
厂商回复:
感谢对当当安全的支持
最新状态:
暂无