当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0114340

漏洞标题：趣分期商城管理后台存在大量弱口令导致沦陷（四）

相关厂商：趣分期

漏洞作者： px1624

提交时间：2015-05-15 18:15

修复时间：2015-06-29 18:40

公开时间：2015-06-29 18:40

漏洞类型：账户体系控制不严

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-05-15： 细节已通知厂商并且等待厂商处理中
2015-05-15： 厂商已经确认，细节仅向厂商公开
2015-05-25： 细节向核心白帽子及相关领域专家公开
2015-06-04： 细节向普通白帽子公开
2015-06-14： 细节向实习白帽子公开
2015-06-29： 细节向公众公开

简要描述：

贵公司果然很有自信，上个漏洞评级还是低危 5rank额
看来用户数据和信息安全在贵公司真的一文不值额
这是最后一个，不搞了，没意思，建议你们自查去吧

详细说明：

1 在企业邮箱中看到了这封邮件（当然这个密码已经用不了了）

1.png


2 然后就得到了后台地址 http://admin.fadongxi.com/

2.png


3 然后就找到了一堆弱口令，随便选了个进去截图证明下 趣分期的

3.png


4 里面东西很多，不一一截图了，反正你们貌似也不太重视，用户的数据和自身的信息安全
4000条左右的订单信息一览无余

4.png


漏洞证明：

密码均为 qufenqi1234
用户名

libin
houbin
qiupeng
zengwei
liuhangyu
xiechenfei
zhangxiang
hanguoqing
wangqingchun
zhangjianguo
liangyapeng
zhangchaoqing
zhouzhongyong
lina
wulang
wuyali
wanyong
lukaiwen
wangchao
lixudong
xionghuan
wangchao
zhangtao
zhangnan
wangxinyu
sunleilei
dushipeng
zhangnan
weiminrong
liuguangyu
liaohuilin
shaofurong
yaozhiguang
wenhaiyang
wangchenggang
jiangxiaowei
zhangxuguang
wangjinyang

修复方案：

我不知道，你们最牛逼！

版权声明：转载请注明来源 px1624@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：6

确认时间：2015-05-15 18:38

厂商回复：

感谢指出，已通知相关人员修复。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-05-15 18:16 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

    哪来的自信给px 5rank？

  2. 2015-05-15 18:17 | 天地不仁 以万物为刍狗 ( 普通白帽子 | Rank:977 漏洞数:264 | 天地本不仁 万物为刍狗)

    哪来的自信给px 5rank？

  3. 2015-05-15 18:17 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    哪来的自信给px 5rank？

  4. 2015-05-15 18:18 | 孤独雪狼 ( 普通白帽子 | Rank:710 漏洞数:145 | 七夕手机被偷，这坑爹的七夕啊 。。。。)

    哪来的自信给px 5rank？

  5. 2015-05-15 18:18 | her0ma ( 核心白帽子 | Rank:598 漏洞数:84 | 专注小厂商三十年！)

    哪来的自信给px 5rank？

  6. 2015-05-15 18:18 | xyang ( 普通白帽子 | Rank:242 漏洞数:51 | stay hungry stay foolish)

    哪来的自信给px 5rank？

  7. 2015-05-15 18:19 | 毕月乌 ( 普通白帽子 | Rank:120 漏洞数:16 | 猜猜我是谁？)

    哪来的自信给px 5rank？

  8. 2015-05-15 18:20 | 暗羽 ( 路人 | Rank:21 漏洞数:6 | 喵呜，给人类的智商跪了)

    哪来的自信给px 5rank？

  9. 2015-05-15 18:31 | 爱上平顶山 认证白帽子 ( 核心白帽子 | Rank:2738 漏洞数:547 | [不戴帽子]异乡过客.曾就职于天朝某机构.IT...)

    哪来的自信给px 5rank？

  10. 2015-05-15 18:40 | 外星人 ( 普通白帽子 | Rank:650 漏洞数:139 )

    哪来的自信给px 5rank？

  11. 2015-05-15 18:41 | 末笔丶 ( 普通白帽子 | Rank:191 漏洞数:41 | 有阴影的地方必定有光.)

    哪来的自信给px 6rank？

  12. 2015-05-15 18:52 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

    px你离核心真的是越走越远吖

  13. 2015-05-15 19:24 | ’‘Nome ( 实习白帽子 | Rank:55 漏洞数:19 | 在此感谢 @M4sk @mango @裤裆 @泳少 @5up3r...)

    哪来的自信给px 6rank？

  14. 2015-05-15 19:25 | ’‘Nome ( 实习白帽子 | Rank:55 漏洞数:19 | 在此感谢 @M4sk @mango @裤裆 @泳少 @5up3r...)

    px你离核心真的是越走越远吖

  15. 2015-05-15 19:46 | 这只猪 ( 路人 | Rank:5 漏洞数:2 | 南无阿弥陀佛！)

    哪来的自信给px 5rank？

  16. 2015-05-15 20:28 | 小威 ( 普通白帽子 | Rank:492 漏洞数:76 | 活到老，学到老!)

    哪来的自信给px 5rank？

  17. 2015-05-15 20:34 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了，跪着也要...)

    哪来的自信给px 5rank？

  18. 2015-05-15 21:05 | 孤独行者 ( 普通白帽子 | Rank:110 漏洞数:44 | 时光如水，总是无言。你若安好，便是晴天)

    px你离核心真的是越走越远吖

  19. 2015-05-15 22:10 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    哪来的自信给px 5rank？

  20. 2015-05-15 22:12 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    感觉rank应该要收费，不然某些厂商，以为这是免费的，根本就不知道珍惜。。

  21. 2015-05-15 22:12 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    跟投着玩一样。。

  22. 2015-05-15 23:52 | JiuShao ( 普通白帽子 | Rank:405 漏洞数:94 | ╮(╯▽╰)╭锄禾日当午)

    哪来的自信给px 5rank？

  23. 2015-05-16 10:53 | BMa ( 普通白帽子 | Rank:1776 漏洞数:200 )

    果然 第四个来了

  24. 2015-05-16 14:40 | zsrkmyn ( 路人 | Rank:18 漏洞数:3 | lazy...)

    @趣分期 表示一辈子不会使用趣分期的产品以及子产品，也会极力劝阻周围使用趣分期的人。

  25. 2015-05-16 15:24 | 無名老人 ( 路人 | Rank:15 漏洞数:3 | 干过开发，日过渗透，江湖人称： 少女杀手)

    这是挑衅么？

  26. 2015-05-16 17:22 | BMa ( 普通白帽子 | Rank:1776 漏洞数:200 )

    果然不5个，给6个

  27. 2015-05-16 17:22 | BMa ( 普通白帽子 | Rank:1776 漏洞数:200 )

    期待第五发

  28. 2015-06-29 20:31 | ovov ( 路人 | Rank:5 漏洞数:1 | 无论在现实世界里，还是网络里，我都是孤独...)

    - -

  29. 2015-06-29 20:36 | Mr.R ( 实习白帽子 | Rank:52 漏洞数:14 | 求大神带我飞 qq2584110147)

    哪来的自信给px 5rank？

  30. 2015-06-29 22:12 | Tioyer ( 实习白帽子 | Rank:34 漏洞数:10 | 初来乍到，请各位大牛多多指教！)

    哪来的自信给px 5rank？

  31. 2015-06-30 08:24 | anting ( 普通白帽子 | Rank:105 漏洞数:38 | 活到老，学到老)

    这种无良厂商管他干嘛

  32. 2015-06-30 10:14 | milan ( 普通白帽子 | Rank:129 漏洞数:32 | 妈妈说：搬不完砖就别回家。)

    这种厂商一辈子也就这bi样了