漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-020471
漏洞标题：大地数字影院本地验证上传任意文件，已shell大量vip信息泄露
相关厂商：大地数字影院
漏洞作者： 哎呀
提交时间：2013-03-22 15:45
修复时间：2013-05-06 15:45
公开时间：2013-05-06 15:45
漏洞类型：用户资料大量泄漏
危害等级：中
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-03-22： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-05-06： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
由于js本地验证导致上传任意文件。大量vip信息泄露
详细说明：
上传图片时，采用js本地验证。本地修改js代码上传任意文件。
浏览数据库发现好多的用户，上面多则2000，少则几十元！！
可通过手机任意订票。然后……你知道的
漏洞证明：
漏洞位置
修改本地验证
通过漏洞上传aspxshell得到数据库账户和密码
在数据库中查询到的用户和余额！！
利用余额购买电影票！！
没有技术含量，和rmb有关觉得还是有点严重，票我也没有买。
希望乌云给个邀请码
修复方案：
大家都知道
版权声明：转载请注明来源 哎呀@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：18 (WooYun评价)