漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-051201
漏洞标题：不登录通过淘宝ID查看任意买家基本信息以及之前的购买记录
相关厂商：淘宝网
漏洞作者： livers
提交时间：2014-02-17 18:14
修复时间：2014-02-18 09:45
公开时间：2014-02-18 09:45
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：15
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-02-17： 细节已通知厂商并且等待厂商处理中
2014-02-18： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
此漏洞存在有些年头了。
详细说明：
不废话，漏洞地址存在于下面接口：
http://member1.taobao.com/member/user_profile.jhtml?user_id=[vul]
此接口可以直接查询淘宝ID。
通过此接口可以通过淘宝的ID查到淘宝帐号体系user-rate-[id]
通过http://ratehis.taobao.com/ 信用评价网站上可以看到对所购买的商品进行评价。
进而查得购买记录（今天测试了下，貌似最近一周的查不到数据，做了部分修复，我认为还是比较严重）。
由于漏洞存在时间太长（>5年）一些信用查询和购买记录的产业利用此接口。
不用登录 很容易做采集。。。
利用方式见证明：
漏洞证明：
xsser是我随便测试了个帐号[多有得罪]，此接口无需登录
可以查到用户的信用等级 注册时间 和地址等基本信息。
接着看 查看购买记录。
此页面做了信用和空间关联，这里 点击左上角的信用评价。
跳转到http://rate.taobao.com/user-rate-726db3ad63867814d44d8f6402014efe.htm?spm=a1z08.6.1000507.2.stV94y
成功得到user-rate-[id]
这样就可以查询到信用评价的数据了。
这里说明下 查询时取消掉 “有评价内容”选项，查看给别人的评价，查询的数据就是你前段时间所有的购买记录了。
查看半年前的数据：
点击 好差评 下面的数字，进入新的链接 查看来自买家的评价就是所有的购买记录信息。
修复方案：
鉴于淘宝帐号体系的复杂性，对于一些逻辑尽量最小放权。
版权声明：转载请注明来源 livers@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-02-18 09:45
厂商回复：
感谢你对我们的支持与关注，该问题属于正常业务，谢谢！
最新状态：
暂无
漏洞评价：
评论
-
又是5w
-
@厦门搜谷信息科技有限公司 卧槽。。。。厂商你是要10w的节奏么
-
@厦门搜谷信息科技有限公司 @淡漠天空 说话要算数啊
-
@xsser @我做什么。。。。要是这个厂商@厦门搜谷信息科技有限公司 敢出10w 我保证第一次日进内网....
-
评价是公开的，确实属于正常业务，不过确实可以直接统计地区等的购买记录
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)