漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0194518
漏洞标题：绿狗网漏洞打包(源代码泄露/敏感信息/越权XSS/订单/管理用户信息等)
相关厂商：lvgou.com
漏洞作者： 黑色键盘丶
提交时间：2016-04-10 14:17
修复时间：2016-05-27 14:50
公开时间：2016-05-27 14:50
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-04-10： 细节已通知厂商并且等待厂商处理中
2016-04-12： 厂商已经确认，细节仅向厂商公开
2016-04-22： 细节向核心白帽子及相关领域专家公开
2016-05-02： 细节向普通白帽子公开
2016-05-12： 细节向实习白帽子公开
2016-05-27： 细节向公众公开
简要描述：
RT
打包哦
详细说明：
直接下载了
嘿黑
这里有个sql文件 刚开始以为是新闻数据库的 不过导入后才发现各种信息都在
admin表自然是admin信息啦
bankcard银行信息啦这里卡号
这里用户信息邮箱
还有其他敏感信息订单信息等
总共186个表这里证明下危害即可
下载源代码后找到很多信息 数据库配置 各种支付接口登陆接口信息
这里截图打开的顶部文件都是配置文件
QQ 新浪登陆接口
这里是数据库配置
支付宝的
百度推销key
还有几处就不贴了
下面是越权删除任意用户的地址和一处XSS 估计这个xss提交订单后 后台查看可以插到但是都要钱好贵的又挖不到支付漏洞所以这个xss。。。
测试账号的号13656785601 123123 17733896182 123123 麻烦审核测试完后打个马赛克
用户地址处插入
这里触发
越权删除地址这里抓包
这里我先删除注册的账号一136
成功删除 提示1是成功
下面删除177
先看下2条
删除
ok
漏洞证明：
直接下载了
嘿黑
这里有个sql文件 刚开始以为是新闻数据库的 不过导入后才发现各种信息都在
admin表自然是admin信息啦
bankcard银行信息啦这里卡号
这里用户信息邮箱
还有其他敏感信息订单信息等
总共186个表这里证明下危害即可
下载源代码后找到很多信息 数据库配置 各种支付接口登陆接口信息
这里截图打开的顶部文件都是配置文件
QQ 新浪登陆接口
这里是数据库配置
支付宝的
百度推销key
还有几处就不贴了
下面是越权删除任意用户的地址和一处XSS 估计这个xss提交订单后 后台查看可以插到但是都要钱好贵的又挖不到支付漏洞所以这个xss。。。
测试账号的号13656785601 123123 17733896182 123123 麻烦审核测试完后打个马赛克
用户地址处插入
这里触发
越权删除地址这里抓包
这里我先删除注册的账号一136
成功删除 提示1是成功
下面删除177
先看下2条
删除
ok
修复方案：
删除源代码
版权声明：转载请注明来源 黑色键盘丶@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2016-04-12 14:46
厂商回复：
万分感谢～
最新状态：
暂无