漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0128190
漏洞标题：一个弱口令的血案（四百多万条详细用户的资料以及资金安全受影响/任意账号操作/附送后台注入）
相关厂商：北京闪银奇异科技有限公司
漏洞作者： 路人甲
提交时间：2015-07-21 20:39
修复时间：2015-09-05 10:54
公开时间：2015-09-05 10:54
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-07-21： 细节已通知厂商并且等待厂商处理中
2015-07-22： 厂商已经确认，细节仅向厂商公开
2015-08-01： 细节向核心白帽子及相关领域专家公开
2015-08-11： 细节向普通白帽子公开
2015-08-21： 细节向实习白帽子公开
2015-09-05： 细节向公众公开
简要描述：
太尼玛详细了 详细的我 不得不匿名提交 包括了用户的银行卡 身份证 证件照 手机号码等··竟然还有实时定位系统··· 厂商 ···你不会报复我把···我可什么坏事都没干···不要发礼物给我 给我我也不会要的···太恐怖了···貌似还可以进行资金操作···
详细说明：
闪银后台：http://system.wecash.net/wecash-system/system/index/
账号：test
密码：111111
登陆后
我们看下客户管理（我眼神不好···这是多少） 查询结果：共4085303条
我们随便选个 看下详细的
下面看到个地址 我们点进去看看 （又吓尿了 这么屌 客户知道吗？）
看到个验证码管理 看看是干什么的（看过去 吓尿了 验证码是四位数也就算了 还记录了？这拿下后台 就等于拿下了 所有的账号啊）
奖品以及各种码的功能
支付查询
50万的提现记录
资金提现 貌似可以进行资金的操作 没敢去操作
漏洞证明：
后台sql注入
在用户管理的地方 姓名加了个单引号
然后就报错了
这里没继续了 后台的防注入机制没开？你们也太自信了吧···
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-07-22 10:52
厂商回复：
感谢对闪银的关注，我们会尽快修复漏洞。
最新状态：
暂无
漏洞评价：
评论
-
为啥还能实时定位呢？
( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)