当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-071376

漏洞标题:永琪疑似被入侵导致200多万高端充钱会员个人信息遭泄露(电话,真实姓名,身份证,会员卡号,会员金额 可增删查改会员卡金额)

相关厂商:上海永琪美容美发经营管理有限公司

漏洞作者: sql

提交时间:2014-08-07 10:55

修复时间:2014-09-21 10:56

公开时间:2014-09-21 10:56

漏洞类型:成功的入侵事件

危害等级:高

自评Rank:20

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-08-07: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-09-21: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

永琪被黑导致200多万高端充钱会员个人信息遭泄露(可增删查改会员卡金额)

详细说明:

该美容行业是永琪。
http://www.yongqi.com.cn/bgLogin.jsp
周末去剪头发,然后干洗,按摩的妹纸一直要我办会员卡。
毕竟冲了钱了,回来后就看了看他们的安全性。
谁知道 随便访问一个jsp页面 就跳转到一个jspspy 的页面。 这个webshell竟然这么正大光明的存在 。

000.jpg


因为搜集了 webshell字典。
在爆破的时候 我就看电影了。
还没看完 就破出来了。

111.jpg


然后根目录一大堆webshell。

112.jpg


他数据库加密了
是这样子的
<?xml version="1.0" encoding="UTF-8"?>
-<dconf><url>:F1B8SIS&lt;6QS97)V97(Z+R\Q,"XP+C$N-CHQ-#,S.T1A=&%B87-E3F%M93U945=E8DM+Q</url><us>&lt;V%+"</us><pa>&lt;&UV;R-K-R-J;VTW(V]F&lt;$M+0</pa></dconf>
这个只能人肉了弄了
弄了一会就连上数据库了。
还是 sa
这是冲了钱的会员的个数。200多万

QQ图片20140807095428.jpg


22.jpg


里面含有 电话 真实姓名 身份证 会员卡号 会员金额 等等
这些都是高端美容会员资料
如果被竞争对手拿到 永琪应该损失很大吧。

漏洞证明:

同上

修复方案:

后来才知道 这站还存在struts2的漏洞。把webshell删干净后再补struts2的洞把

版权声明:转载请注明来源 sql@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:4 (WooYun评价)


漏洞评价:

评论

  1. 2014-09-14 20:53 | 刺刺 ( 普通白帽子 | Rank:603 漏洞数:52 | 真正的安全并不是技术,而是人类善良的心灵...)

    肯定不是疑似了,去年出差上海,花了40元,在五阿哥那里的理了个发,他们一直推荐入会,回去看了一下,已经被搞了。

  2. 2014-11-11 16:23 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    其实是这个。。http://www.shboka.com/