当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-032334

漏洞标题:加多宝某奖品活动网站备份文件下载

相关厂商:加多宝

漏洞作者: xlz0iza1

提交时间:2013-07-25 23:15

修复时间:2013-09-08 23:16

公开时间:2013-09-08 23:16

漏洞类型:用户资料大量泄漏

危害等级:中

自评Rank:8

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-07-25: 积极联系厂商并且等待厂商认领中,细节不对外公开
2013-09-08: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

泄露网站信息管理员密码和网站源码 SA密码。
这是活动网址:http://xzq.wlj-china.com/

详细说明:

网站备份文件下载地址:http://xzq.wlj-china.com/12.rar
网站web.config配置文件
<add key="scope" value="publish_feed publish_share read_user_feed status_update send_request"/>
</RenRen>
</OAuthConnector>
<appSettings>
<add key="Tableprefix" value="EWMS_"/>
<add key="Dbtype" value="SqlServer"/>
<add key="FCKeditor:BasePath" value="~/Editor/fckeditor_admin/"/>
<add key="FCKeditor:UserFilesPath" value="~/Files/FCKupfiles"/>
<add key="DAL" value="JiaDuoBao.DataBase"/>
<add key="UserName" value="admin"/>
<add key="PassWord" value="97A71DEBCA90DB23B5AA06642FCC91B7"/>
<add key="EKEnterpriseConnString" value="server=10.4.1.226;uid=sa;pwd=imagtion;database=JiaDuoBaoDB;"/>
<add key="maxwish" value="10"/>
<add key="pagsize" value="10000"/>
<add key="3des" value="MzI0OGNkemR5NzNxNjNxNzINMjMxMzI0"/>
<add key="Upload_Path" value="/Upload/"/>
<add key="ActivityId" value="fa1506f3-29e6-4401-affe-c803b5160bd0"/>
<!--<add key="ActivityId" value="050f29ae-064f-45c1-95a8-3f450bad870e"/>-->
<add key="ActionId" value="b02160a1-6f98-48bb-bb71-17dbabf4c594"/>
后台地址:http://xzq.wlj-china.com/admin_wlj/Index.aspx
进入后台可以任意修改奖品发放哦。

漏洞证明:

QQ图片20130725225102.jpg


用户数据。

QQ图片20130725225217.jpg

修复方案:

删除备份文件,修改后台管理员地址账号密码。

版权声明:转载请注明来源 xlz0iza1@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价:

评论