当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-085759

漏洞标题：酷讯网某系统未授权访问(泄露内网以及用户大量机票等敏感信息)

相关厂商：kuxun.cn

漏洞作者： 几何黑店

提交时间：2014-12-03 18:32

修复时间：2015-01-17 18:34

公开时间：2015-01-17 18:34

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-03： 细节已通知厂商并且等待厂商处理中
2014-12-04： 厂商已经确认，细节仅向厂商公开
2014-12-14： 细节向核心白帽子及相关领域专家公开
2014-12-24： 细节向普通白帽子公开
2015-01-03： 细节向实习白帽子公开
2015-01-17： 细节向公众公开

简要描述：

酷讯网某系统未授权访问(泄露内网以及用户大量敏感信息)
用户信息有多少万,我就不说了,免的上新闻.
泄露用户姓名,手机号,银行卡号,生日,邮箱地址,乘坐航班号等信息

详细说明：

mask 区域 
*****.14:1*****
*****.169:*****
*****.247:*****
1.://**.**.**


(此库涉及用户信息)
还有一处暴露路径:

mask 区域 
1.http://**.**.**/

漏洞证明：

QQ图片20141203180747.png


转换后得到如下

QQ图片20141203164118.jpg


泄露非常多的内网地址以及端口,甚至还有数据库的配置信息

QQ图片20141203165337.png


QQ图片20141203164444.jpg


QQ图片20141203181329.png


QQ图片20141203173936.png


QQ图片20141203174153.png


QQ图片20141203174237.png


QQ图片20141203174409.png


修复方案：

你懂的

版权声明：转载请注明来源 几何黑店@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-12-04 20:22

厂商回复：

历史遗留问题，确实是一个非常有影响的漏洞。感谢几何黑店，希望能进一步沟通。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-12-03 19:36 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    专注manggo三十年！

  2. 2014-12-04 22:59 | 龍 、 ( 普通白帽子 | Rank:398 漏洞数:135 | 你若安好 我就是晴天)

    专注manggo三十年！

  3. 2015-05-29 15:07 | 炊烟 ( 普通白帽子 | Rank:238 漏洞数:44 | 每一天都需要努力。)

    求教这个怎么利用