当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0120618

漏洞标题：微信公众号运营平台泄漏敏感信息

相关厂商：上海贤房信息技术有限公司

漏洞作者： libmaru

提交时间：2015-06-15 15:33

修复时间：2015-07-30 15:34

公开时间：2015-07-30 15:34

漏洞类型：未授权访问/权限绕过

危害等级：中

自评Rank：7

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-06-15： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-07-30： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

泄漏appid和appsecret等信息

详细说明：

全家微信公众号：全家微生活
http://familymart.kembo88.com/
http://wechat.kembo88.com/
电脑上打开你们的网站根目录，一闪而过显示出登录框，要不要这么屌。拦截
http://familymart.kembo88.com/api/v1/admin_is_login 和
http://wechat.kembo88.com/api/admin_is_login 就可以避免跳出登录框
首页截图

02.png


03.png


管理员用户名

01.png


看一看 javascript，还发现了一个 api 直接给出了 AppID 和 AppSecret
http://wechat.kembo88.com/api/configs

{
    "code":200,
    "message":"success",
    "data"：{
        "id_production":1,
        "appid_production":"wx636668dc4cc11c5f",
        "appsecret_production":"1dc42811650762704879124c40c2d126"
    }
}


漏洞证明：

04.png


听说你们有10w用户

06.png


05.png


发消息好麻烦，不试了

修复方案：

就算是 Ruby 也不能阻止二逼码农，让他下岗吧

版权声明：转载请注明来源 libmaru@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞评价：

评论