当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0114334

漏洞标题：看我如何获取蘑菇街妹子联系方式（附送订单遍历）

相关厂商：蘑菇街

漏洞作者： 胡小树

提交时间：2015-05-15 17:53

修复时间：2015-07-02 14:48

公开时间：2015-07-02 14:48

漏洞类型：设计缺陷/逻辑错误

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-05-15： 细节已通知厂商并且等待厂商处理中
2015-05-18： 厂商已经确认，细节仅向厂商公开
2015-05-28： 细节向核心白帽子及相关领域专家公开
2015-06-07： 细节向普通白帽子公开
2015-06-17： 细节向实习白帽子公开
2015-07-02： 细节向公众公开

简要描述：

稀饭妹子

详细说明：

之前收集信息时候，看到一个链接
http://m.mogujie.com/x4
好像是微信的，那微信打开看看那。
妹子好漂亮啊，就是你了

妹子漂亮啊.jpg


然后就是买买买

mask 区域 
*****1fb3da40e5b50ba5cd.jpg"*****


然后抓包修改地址哦，会有妹子出现哦

地址.png


吓尿了，竟然是个汉子

mask 区域 
*****18598464979b226036c5.jpg&qu*****


你对你女朋友那么好，你爸妈知道吗

漏洞证明：

还有订单遍历哦
提交订单时候，修改订单名称

订单遍历.png


然后爆破下

订单遍历爆破.jpg


附送两个妹子联系方式

mask 区域 
*****b446ac1c44e894b0b2fe.jpg&qu*****


mask 区域 
*****e28906e9a47846320f73.jpg&qu*****


修复方案：

版权声明：转载请注明来源 胡小树@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：7

确认时间：2015-05-18 14:46

厂商回复：

再次感谢@胡小树

最新状态：

暂无

漏洞评价：

评论

  1. 2015-05-15 18:07 | 胡小树 ( 实习白帽子 | Rank:60 漏洞数:11 | 我是一颗小小树)

    我操，图发错了，最后一个是自己的，管理可以帮忙给删了吗？@xsser @疯狗

  2. 2015-05-15 19:08 | Blackgame ( 实习白帽子 | Rank:70 漏洞数:13 | dddd)

    看不到。。。 怎么和妹子联系

  3. 2015-05-15 20:19 | 外星人 ( 普通白帽子 | Rank:650 漏洞数:139 )

    @胡小树 可以编辑

  4. 2015-05-15 20:23 | prolog ( 普通白帽子 | Rank:544 漏洞数:107 | 低调求发展)

    @外星人 编辑从没审核过。。。

  5. 2015-05-15 21:24 | 90Snake ( 普通白帽子 | Rank:109 漏洞数:42 | 最大的漏洞就是人)

    @prolog 编辑从没审核过。。。

  6. 2015-05-15 22:09 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    这个叼，果断关注了。

  7. 2015-05-18 15:05 | 胡小树 ( 实习白帽子 | Rank:60 漏洞数:11 | 我是一颗小小树)

    @蘑菇街 不好意思修改信息打码后，管理没审核