当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2011-03789

漏洞标题：京东商城用户资料完全泄漏

相关厂商：京东商城

漏洞作者： 我心飞翔

提交时间：2011-12-26 17:35

修复时间：2012-02-09 17:36

公开时间：2012-02-09 17:36

漏洞类型：用户资料大量泄漏

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2011-12-26： 细节已通知厂商并且等待厂商处理中
2011-12-27： 厂商已经确认，细节仅向厂商公开
2012-01-06： 细节向核心白帽子及相关领域专家公开
2012-01-16： 细节向普通白帽子公开
2012-01-26： 细节向实习白帽子公开
2012-02-09： 细节向公众公开

简要描述：

京东商城在某些业务上存在用户权限控制不当的漏洞，导致用任意用户登录系统后，都可以正常访问到所有用户的信息，包括：姓名、地址、电话、Email等。

详细说明：

京东商城在某些业务上存在用户权限控制不当的漏洞，导致用任意用户登录系统后，都可以正常访问到所有用户的信息，包括：姓名、地址、电话、Email等。
今年年初曾提供给京东一个类似的漏洞信息，是通过订单的GSP定位功能：无需使用账户登录京东，直接访问：http://mapapp.360buy.com/gis/GisHandler.ashx?lastIndex=101&provider=orderGisTrackFaHuo&orderId=（流水订单号）
即可获得该订单的GPS配送信息，其中包含了订单信息、用户信息。之后京东修改了此漏洞。
这次提供的漏洞，需要使用任意用户登录，还是凭流水号，就可以获得用户的完整信息。

漏洞证明：

无法直接证明，但可以通过以下方式验证：
1、使用一个京东账户，下单，等订单完成（注意，必须是完成）；
2、联系我，告知我你下单时填写的收件人的全称及手机的后4位，我可以告知你其余的信息，包括地址、完整电话、Email等

修复方案：

QQ：1826696659

版权声明：转载请注明来源 我心飞翔@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2011-12-27 12:27

厂商回复：

感谢对京东的关注，我们马上处理。

最新状态：

暂无

漏洞评价：

评论

  1. 2011-12-27 11:58 | Kk_p ( 路人 | Rank:9 漏洞数:2 | 做白帽应做之事)

    mark

  2. 2011-12-27 12:23 | X-Secure ( 路人 | Rank:6 漏洞数:2 | 扭啊扭啊扭~~~)

    前排关注！

  3. 2011-12-27 12:38 | 我心飞翔 ( 路人 | Rank:24 漏洞数:2 | Coder 18年，养成了逻辑思维)

    用户资料都完全泄漏了，京东居然认为只有 Rank10！！呵呵，京东视用户为粪土啊！

  4. 2011-12-27 12:52 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    :) 正如你看到的

  5. 2011-12-27 13:15 | 7INMoKu ( 路人 | Rank:2 漏洞数:1 | [ChenMoKu])

    最近真危险.

  6. 2011-12-27 13:34 | 笨子 ( 路人 | Rank:4 漏洞数:2 | 80759112)

    前排留贴 坐等上新闻

  7. 2011-12-27 14:32 | TestRoot ( 普通白帽子 | Rank:101 漏洞数:19 | sys)

    幸亏没在京东上买过东西

  8. 2011-12-27 17:35 | think ( 路人 | Rank:16 漏洞数:4 | 对支付、安全有些想法，混迹于挨踢界的老农)

    额，我悲剧了

  9. 2011-12-27 19:09 | El4pse ( 路人 | Rank:29 漏洞数:7 | 世界上从来没有不可能这几个字，可不可能完...)

    俺想同京东客服通话

  10. 2011-12-27 21:15 | Xunix ( 路人 | Rank:25 漏洞数:5 | 闲的蛋疼，跑来扯淡。有谁家还招人不？求包...)

    麻痹的，这个才给10Rank，京东脑子进屎了吧

  11. 2011-12-27 22:13 | 酱油哥 ( 实习白帽子 | Rank:53 漏洞数:3 | 打酱油。)

    京东的人才不知道什么是RANK，估计随便给的。

  12. 2011-12-28 00:38 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    鄙视厂商。这个算“重视”，我服了。

  13. 2011-12-28 00:51 | xiya ( 路人 | Rank:5 漏洞数:1 )

    表示关注..

  14. 2011-12-28 10:52 | P w ( 实习白帽子 | Rank:72 漏洞数:14 | -这家伙很懒,什么都没有留下。其实我真的很...)

    关注.

  15. 2011-12-28 14:18 | sker ( 路人 | 还没有发布任何漏洞 | 暂无)

    关注 我的也漏了

  16. 2011-12-28 14:54 | 葉孒 ( 实习白帽子 | Rank:37 漏洞数:5 | 呵呵)

    京东.你又在坑爹！明文密码就影响大了....

  17. 2012-01-21 19:32 | icefish ( 普通白帽子 | Rank:104 漏洞数:8 | 欢迎大家和我用邮件进行交流~)

    难道所谓的270w，就是这个人。。。

  18. 2012-01-30 01:50 | safe121 ( 实习白帽子 | Rank:98 漏洞数:11 | http://www.gov.cn)

    窝巢。。这就是270W哥？

  19. 2012-01-30 01:54 | yingzi ( 实习白帽子 | Rank:38 漏洞数:3 )

    hahahah

  20. 2012-02-02 17:20 | pestu ( 普通白帽子 | Rank:170 漏洞数:13 | 关注计算机网络安全 lnmpa技术)

    越权查看啊。

  21. 2012-02-02 23:58 | Enjoy_Hacking ( 实习白帽子 | Rank:84 漏洞数:8 | 时间无言，如此这般。)

    牛逼、270W。。。

  22. 2012-02-09 17:47 | Jian(64bit) ( 实习白帽子 | Rank:65 漏洞数:15 | 世界上有10种人,懂二进制的和不懂的.)

    270W 牛啊

  23. 2012-03-23 15:20 | 三叶草 ( 路人 | Rank:14 漏洞数:5 | 幸福是靠自己努力的)

    悲剧哥啊/京东太 剑 了！

  24. 2013-07-31 01:55 | 鸡鸡 ( 路人 | Rank:7 漏洞数:4 )

    楼主出来了吗

  25. 2013-07-31 15:01 | 我真的不帅 ( 路人 | Rank:19 漏洞数:7 | 今朝有酒今朝醉,天道茫茫何所求)

    出来了，黑牢里面待了小半年