当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0111124

漏洞标题：p2p金融安全之PPmoney理财敏感信息泄漏（所有广告推广平台账号/集团主站管理/官方微博等）

相关厂商：ppmoney.com

漏洞作者： 北京方便面

提交时间：2015-04-29 19:21

修复时间：2015-06-14 18:44

公开时间：2015-06-14 18:44

漏洞类型：账户体系控制不严

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-04-29： 细节已通知厂商并且等待厂商处理中
2015-04-30： 厂商已经确认，细节仅向厂商公开
2015-05-10： 细节向核心白帽子及相关领域专家公开
2015-05-20： 细节向普通白帽子公开
2015-05-30： 细节向实习白帽子公开
2015-06-14： 细节向公众公开

简要描述：

p2p金融安全之PPmoney理财敏感信息泄漏（所有广告推广平台账号及集团主站管理等）

详细说明：

腾讯企业邮箱
smtp爆破之

mask 区域 
*****1@ppmoney.co*****
*****oney.com *****
*****y.com : *****
*****oney.com *****
*****.com : pp*****
*****ey.com : *****
*****ney.com : *****
*****ney.com : *****
*****ney.com : *****
*****oney.com *****
*****oney.com*****
*****oney.com*****
*****ney.com :*****
*****ney.com :*****
*****ey.com : *****
*****ey.com : sh*****
*****ney.com : z*****
*****ey.com : fen*****
*****ey.com : fe*****
*****ey.com : li*****
*****ney.com : t*****
*****ney.com :*****
*****ney.com : c*****
*****ney.com : *****
*****ey.com : *****
*****ney.com :*****
*****ney.com : m*****
*****ney.com : zh*****
*****ney.com : c*****
*****ey.com : hua*****
*****ney.com : *****
*****om : xiuzhixi*****
*****ney.com :*****
*****ney.com :*****
*****y.com : *****
*****money.com *****
*****ney.com :*****
*****com : pp1234*****


集团主站管理:
后台访问地址：
http://www.moneyking.cn/admin/login.htm
超级管理员：admin/123456
普通管理员：user/123456

屏幕快照 2015-04-29 下午7.01.03.png


PPmoney官方微博

mask 区域 
*****937423*****
*****ppmon*****
*****5f6ab8.png" alt="屏幕^*****


mask 区域 
1.://**.**.**//open.ppmoney.com/index.php/Third/Rong360/_
*****：Ro*****
*****3456&lt*****


后台：

http://pz.ppmoney.com/admin/list/token/06b41dbb6ae9edb573ef9c5d6b6b6bf1 
只限公司ip 后面那一串是密码, 请不要泄露
推广记录后台
http://pz.ppmoney.com/admin/Stat/olist/token/a0ca130d81993cc55c1377728e96fed1


广告推广平台账号:

屏幕快照 2015-04-29 下午7.18.36.png


屏幕快照 2015-04-29 下午7.17.09.png


屏幕快照 2015-04-29 下午7.10.27.png


屏幕快照 2015-04-29 下午7.07.30.png


漏洞证明：

修复方案：

版权声明：转载请注明来源 北京方便面@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-04-30 18:43

厂商回复：

感谢本漏洞的提供者及乌云平台发现的问题。本次漏洞主要发生在腾讯企业邮箱系统，因部分员工使用了弱密码所致，我们已经紧急修复并联系了厂商。
由于目前PPmoney在高速成长中，信息安全培训略有欠缺，导致部分员工的信息安全意识仍有不足。在收到乌云平台的警示后，已经组织对全体员工开展信息安全的培训工作。
PPmoney在金融端已经建设了32道风险控制平台，金融投资项目安全稳健，6~18%的年化收益率，由保险理赔的用户资金安全，投资项目保本保息，“有保险，更安全”。我方会继续加强信息安全工作，在互联网信息系统端也建设安全、可靠、诚信、共赢的投资平台。
感谢广大白帽子黑客和乌云平台，如果想加入未来的大趋势互联网金融行业，PPmoney竭诚欢迎广大信息安全人才加入。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-04-29 19:34 | 管管侠 ( 核心白帽子 | Rank:1368 漏洞数:108 | 休息几日，让你们先装会！！！)

    表哥抢生意，我要去找我大哥撸撸侠

  2. 2015-04-29 22:58 | hh2014 ( 普通白帽子 | Rank:225 漏洞数:39 | 继续)

    今天看了下ppmoney没看出来

  3. 2015-05-01 00:21 | only_admin ( 路人 | Rank:11 漏洞数:5 | ~~~~我只是个孩子╭(°A°`)╮~~~~)

    居然打广告。。

  4. 2015-05-01 18:58 | 孤独行者 ( 普通白帽子 | Rank:110 漏洞数:44 | 时光如水，总是无言。你若安好，便是晴天)

    这广告打的。。。。真狠

  5. 2015-05-02 01:48 | only_admin ( 路人 | Rank:11 漏洞数:5 | ~~~~我只是个孩子╭(°A°`)╮~~~~)

    如果想加入未来的大趋势互联网金融行业，PPmoney竭诚欢迎广大信息安全人才加入。

  6. 2015-05-07 15:12 | diguoji ( 普通白帽子 | Rank:323 漏洞数:79 | 中国吉林长春)

    北京方便面吃的多就是厉害

  7. 2015-06-14 20:36 | KingSange ( 路人 | Rank:2 漏洞数:2 | 农民工渗透组)

    第一次看到厂家这么长的回复！我也是醉了。。

  8. 2015-06-16 17:51 | illl ( 路人 | Rank:16 漏洞数:9 | 轻吟一句情话，执笔一副情画。绽放一地情...)

    @ppmoney.com 送个pp码不？

  9. 2015-06-16 18:14 | scanf ( 核心白帽子 | Rank:1232 漏洞数:186 | 。)

    大牛爆破脚本有嘛？