当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-027706

漏洞标题：苏宁某严重缺陷+订单遍历+小CSRF

相关厂商：江苏苏宁易购电子商务有限公司

漏洞作者： zzR

提交时间：2013-07-04 13:46

修复时间：2013-08-18 13:47

公开时间：2013-08-18 13:47

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-07-04： 细节已通知厂商并且等待厂商处理中
2013-07-04： 厂商已经确认，细节仅向厂商公开
2013-07-14： 细节向核心白帽子及相关领域专家公开
2013-07-24： 细节向普通白帽子公开
2013-08-03： 细节向实习白帽子公开
2013-08-18： 细节向公众公开

简要描述：

保持在线

详细说明：

1#
子站

http://meishi.suning.com

问题多多。
首先支持将本地商户信息发送到用户自定义的手机，未对手机及内容进行强制认证，导致了用户可以自定义【推送号码】以及【推送的内容】，看图

发送到手机0.png


然后拦截数据包，修改关键字段

POST /lifesquare/homePage/ajax/sendMessage.htm HTTP/1.1
phoneNumId=可自定义&sendInfo=%E7%BB%B4%E5%88%A9%E5%BA%B7(%E8%8B%9C%E8%93%BF%E5%9B%AD%E5%BA%97)%3A%E7%99%BD%E4%B8%8B%E5%8C%BA%E7%9F%B3%E9%97%A8%E5%9D%8E165%E5%8F%B7%E7%94%B5%E8%AF%9D%EF%BC%9A025-58854808+http%3A%2F%2Fmeishi.suning.com%2Flifesquare%2FhomePage%2FqueryHomePage_1002135.htm（可自定义）+(%E8%8B%8F%E5%AE%81%E6%9C%AC%E5%9C%B0%E7%94%9F%E6%B4%BB)&pin=H33A


返回值：

自定义短信response.png


然后查看你的手机

T]7YLX7KL[{QSQ5@Z4)@`HK.jpg


看到亮点了没，这就相当于掌握了一个免费的短信网关，攻击者可以无限制推送各类小广告，当然病毒木马钓鱼啥的也很方便是不是？

漏洞证明：

2#订单遍历

http://meishi.suning.com/lifesquare/order/userOrderDetail.htm?orderId=xx


bianli.png


再来

bl2.png


3#生活广场加关注csrf

http://meishi.suning.com/lifesquare/homePage/ajax/addAttention.htm?branchId=100XXXX


get请求，鉴权不严格
4#小跨站

信息纠错.png

修复方案：

比我专业的多啊-

版权声明：转载请注明来源 zzR@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2013-07-04 13:50

厂商回复：

感谢您对苏宁易购安全的关注。

最新状态：

暂无

漏洞评价：

评论

  1. 2013-07-04 13:51 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])

    额，好快~

  2. 2013-07-04 14:05 | yhoojj ( 普通白帽子 | Rank:110 漏洞数:14 | BurNing)

    @zzR 先打个码

  3. 2013-07-04 14:13 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    这是自己刷自己的节奏么

  4. 2013-07-04 14:18 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])

    @xsser 我倒是希望可以，唉

  5. 2013-07-04 14:28 | 小胖胖要减肥 认证白帽子 ( 普通白帽子 | Rank:686 漏洞数:101 )

    @xsser 你又曝光啊 不过错了哈