漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-054893
漏洞标题：嗨淘网某站漏洞可泄漏百万用户信息严重影响业务系统
相关厂商：阿里巴巴
漏洞作者： her0ma
提交时间：2014-03-30 11:34
修复时间：2014-05-14 11:34
公开时间：2014-05-14 11:34
漏洞类型：应用配置错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-03-30： 细节已通知厂商并且等待厂商处理中
2014-03-31： 厂商已经确认，细节仅向厂商公开
2014-04-10： 细节向核心白帽子及相关领域专家公开
2014-04-20： 细节向普通白帽子公开
2014-04-30： 细节向实习白帽子公开
2014-05-14： 细节向公众公开
简要描述：
嗨淘网某站由于应用程序配置不当，导致可泄漏百万用户信息，可致使嗨淘损失N多N多！！
影响整个业务系统的运转！百年难得一见的漏洞…………
重要突破还是依赖好基友 @乌云厂商 ！！
详细说明：
PS：wooyun漏洞审核的童鞋，请联系好处理的厂商之后，再进行审核确认，这漏洞太明显了，免得被其它童鞋看到标题之后各种渗透！
Google site:hitao.com 发现蛋碎的百年难得一见的漏洞！查看源代码居然能看到N多管理的帐号密码电话等，如图：
100多位管理帐号+员工+供应商之类的帐号邮箱电话信息，批量解密CMD5，获得26位，其中有超级管理员可成功登录仓库管理系统(http://shopware.hitao.com) 如图：
可修改操作订单，库存等等，严重影响业务系统运转。
继续渗透，成功用其它帐号登录ERP管理系统(http://erp.hitao.com/),同样是超级管理员，ERP管理系统功能太全面了，如图，可导出120多万用户的详细信息（淘宝ID，电话，姓名，地址）：
能够导出100多W用户的信息，未测试；能够修改订单等等，能够让整个运营支持系统出现问题！泄漏各种财务信息。
漏洞证明：
再来几张图，未继续深入了，如图：
修复方案：
1，多么坑的程序员啊？为何会把帐号和密码放到前端源代码中？
2，检查一下是否被脱裤了吧？有上传点，未进行测试，怕影响较大！
为阿里500W奖励计划而来，不知道跑偏没？^_^
版权声明：转载请注明来源 her0ma@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2014-03-31 18:09
厂商回复：
感谢你对我们的支持与关注，该问题我们正在修复中!
最新状态：
暂无
( 核心白帽子 | Rank:1313 漏洞数:146 | 中国菜鸟)