当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0132015

漏洞标题:国美某平台从403到弱口令&SQL注入

相关厂商:国美控股集团

漏洞作者: 红薯

提交时间:2015-08-06 09:41

修复时间:2015-08-11 09:42

公开时间:2015-08-11 09:42

漏洞类型:后台弱口令

危害等级:高

自评Rank:15

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-08-06: 细节已通知厂商并且等待厂商处理中
2015-08-11: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

403也不用绕道走啊,不送礼物,漏洞全忽略,也挡不住一大瓶可乐咖啡因的刺激
一大瓶可乐下肚,一宿没睡,趁精神好找个洞也许厂家也心情好就送个榨汁机以后就不用喝可乐了

详细说明:

国美在线微信管理系统,访问控制不严,导致可以猜解到管理后台,爆破后台登陆,进而可以发布虚假信息进行欺诈、掉鱼,当然后台还有SQL注入,也许还可以刷优惠券什么的

漏洞证明:

直接访问会403错误
http://wx.gome.com.cn/

index403.gif


这种情况一般别人碰到就绕道走了,但是这个403,并不代表访问已存在的页面也是403,所以可以扫它的目录,发现了二级目录:
http://wx.gome.com.cn/pre/
http://wx.gome.com.cn/live/
http://wx.gome.com.cn/sit/
访问还是403,那么继续扫目录
人品爆发,登陆后台直接扫出来
http://wx.gome.com.cn/pre/admin/login.aspx
http://wx.gome.com.cn/live/admin/login.aspx
http://wx.gome.com.cn/sit/admin/login.aspx

login0.gif


可能没有直接暴露在外部环境,防范很弱,无验证码无错误次数限制,爆破的典型环境
手工试了几次成功使用admin/gome登陆
http://wx.gome.com.cn/pre/admin/login.aspx

login.gif


可以给微信用户推送消息了

mess.gif


当然,还有SQL注入, 统计 > 菜单栏页面访问量pv统计 查询时间未过滤

database.gif


修复方案:

如果不想让人外网访问,还是放在内网吧

版权声明:转载请注明来源 红薯@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-08-11 09:42

厂商回复:

漏洞Rank:15 (WooYun评价)

最新状态:

暂无


漏洞评价:

评论

  1. 2015-08-06 12:15 | 0x 80 ( 普通白帽子 | Rank:1301 漏洞数:398 | 某安全公司招聘系统运维、渗透测试、安全运...)

    思路不错,如果是手工,我赞

  2. 2015-08-06 12:53 | 随风的风 ( 普通白帽子 | Rank:111 漏洞数:40 | 心若没有栖息的地方,走到哪里都是在流浪。)

    @0x 80 你能不能多一个rank??999看着我强迫症想揍你

  3. 2015-08-11 10:11 | 0x 80 ( 普通白帽子 | Rank:1301 漏洞数:398 | 某安全公司招聘系统运维、渗透测试、安全运...)

    还是扫描器。。。

  4. 2015-08-11 10:24 | Ysql404 ( 实习白帽子 | Rank:95 漏洞数:16 | 。。。。。。。。。。。)

    扫目录用的什么工具呢,@红薯

  5. 2015-08-11 10:56 | 0x 80 ( 普通白帽子 | Rank:1301 漏洞数:398 | 某安全公司招聘系统运维、渗透测试、安全运...)

    @Ysql404 其中各种爬行工具都可以扫