当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0137596

漏洞标题：同程旅游网移动端某接口泄漏（可查询订单/机票/酒店/电影等部分信息）

相关厂商：苏州同程旅游网络科技有限公司

漏洞作者： 1937nick

提交时间：2015-08-28 22:20

修复时间：2015-08-28 23:16

公开时间：2015-08-28 23:16

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：18

漏洞状态：厂商已经修复

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-28： 细节已通知厂商并且等待厂商处理中
2015-08-28： 厂商已经确认，细节仅向厂商公开
2015-08-28： 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

高rank 送京东礼品卡 小激动

详细说明：

在某处看到同程移动端求测的状态我就来了，高rank 送京东礼品卡

1.png


类似一样的漏洞 以前在某处提交过 厂商说此问题之前有发现，评级低！
怎么现在有出现这种问题了呢？ 羞羞的
UARL: http://tcmobileapi.17usoft.com/memberextend/
1.机票接口地址：http://tcmobileapi.17usoft.com/flight/orderhandler.ashx
JSON

{
  "request" : {
    "header" : {
      "digitalSign" : "fb4d5cf83d3170ef8f71efde0610212b",
      "encryptEffort" : "0",
      "reqTime" : "1440739092391",
      "serviceName" : "GetFlightOrderdetail",
      "version" : "20110303090115",
      "accoun<code>

tID" : "5ee7b429-b8c6-400f-8b87-3c384c4ea68a"
},
"body" : {
"orderId" : "137733308",
"endorseSubType" : "11",
"requestType" : "1",
"clientInfo" : {
"refId" : "5866741",
"mac" : "10685e02588a205a100baa911e483423",
"clientIp" : "192.168.1.103",
"networkType" : "wifi",
"extend" : "2^com.tongcheng.iphone,4^8.4,5^iPhone5_2",
"versionType" : "iPhone",
"deviceId" : "4eaf3c51d6b4846d8599c297d9eb94347b64d4f8",
"versionNumber" : "7.5.0"
},
"endorseType" : "1",
"memberId" : "I0_d697650ed0d55a266b81ef6c18fdad5d"
}
}</code>

2.png


JSON输入后点击 提交(>=750) 查询
2.酒店接口地址：http://tcmobileapi.17usoft.com/hotel/orderhandler.ashx
JSON

{
  "request" : {
    "header" : {
      "digitalSign" : "af71d13095e27e443799367b18d892d5",
      "encryptEffort" : "0",
      "reqTime" : "1440739317648",
      "serviceName" : "GetHotelOrderDetail",
      "version" : "20110303090115",
      "accountID" : "5ee7b429-b8c6-400f-8b87-3c384c4ea68a"
    },
    "body" : {
      "orderSerialId" : "hh55bddu67210024u610",
      "clientInfo" : {
        "refId" : "5866741",
        "mac" : "10685e02588a205a100baa911e483423",
        "clientIp" : "192.168.1.103",
        "networkType" : "wifi",
        "extend" : "2^com.tongcheng.iphone,4^8.4,5^iPhone5_2",
        "versionType" : "iPhone",
        "deviceId" : "4eaf3c51d6b4846d8599c297d9eb94347b64d4f8",
        "versionNumber" : "7.5.0"
      },
      "UserHKDollor" : "1",
      "memberId" : "I0_d697650ed0d55a266b81ef6c18fdad5d"
    }
  }
}


3.png


3.电影接口地址：http://tcmobileapi.17usoft.com/Movie/OrderHandler.ashx
JSON

{
  "request" : {
    "header" : {
      "digitalSign" : "89e5950cdfa9c0c90d0bf7663c828a4f",
      "encryptEffort" : "0",
      "reqTime" : "1440739633471",
      "serviceName" : "getmovieorderdetailbyorderid",
      "version" : "20110303090115",
      "accountID" : "5ee7b429-b8c6-400f-8b87-3c384c4ea68a"
    },
    "body" : {
      "orderId" : "150802171133955585",
      "clientInfo" : {
        "refId" : "5866741",
        "mac" : "10685e02588a205a100baa911e483423",
        "clientIp" : "192.168.1.103",
        "networkType" : "wifi",
        "extend" : "2^com.tongcheng.iphone,4^8.4,5^iPhone5_2",
        "versionType" : "iPhone",
        "deviceId" : "4eaf3c51d6b4846d8599c297d9eb94347b64d4f8",
        "versionNumber" : "7.5.0"
      }
    }
  }
}


4.png


4.旅游接口地址：http://tcmobileapi.17usoft.com/scenery/orderhandler.ashx
JSON

{
  "request" : {
    "header" : {
      "digitalSign" : "9c958026282006e90247f5e70d7cd724",
      "encryptEffort" : "0",
      "reqTime" : "1440739829836",
      "serviceName" : "GetOrderDetail",
      "version" : "20110303090115",
      "accountID" : "5ee7b429-b8c6-400f-8b87-3c384c4ea68a"
    },
    "body" : {
      "ruleType" : "3",
      "orderSerialId" : "sz55b003d421002bc765",
      "clientInfo" : {
        "refId" : "5866741",
        "mac" : "10685e02588a205a100baa911e483423",
        "clientIp" : "192.168.1.103",
        "networkType" : "wifi",
        "extend" : "2^com.tongcheng.iphone,4^8.4,5^iPhone5_2",
        "versionType" : "iPhone",
        "deviceId" : "4eaf3c51d6b4846d8599c297d9eb94347b64d4f8",
        "versionNumber" : "7.5.0"
      },
      "memberId" : "I0_d697650ed0d55a266b81ef6c18fdad5d"
    }
  }
}


5.png


5汽车票接口地址：http://tcmobileapi.17usoft.com/bus/OrderHandler.ashx
JSON

{
  "request" : {
    "header" : {
      "digitalSign" : "989bb6b18877ad2d5b2e5835da6a8e60",
      "encryptEffort" : "0",
      "reqTime" : "1440740539249",
      "serviceName" : "getbusorderdetail",
      "version" : "20110303090115",
      "accountID" : "5ee7b429-b8c6-400f-8b87-3c384c4ea68a"
    },
    "body" : {
      "orderId" : "412271",
      "clientInfo" : {
        "refId" : "5866741",
        "mac" : "10685e02588a205a100baa911e483423",
        "clientIp" : "192.168.1.103",
        "networkType" : "wifi",
        "extend" : "2^com.tongcheng.iphone,4^8.4,5^iPhone5_2",
        "versionType" : "iPhone",
        "deviceId" : "4eaf3c51d6b4846d8599c297d9eb94347b64d4f8",
        "versionNumber" : "7.5.0"
      }
    }
  }
}


6.png


还有其他接口我就不测试了 你比我还懂的

漏洞证明：

羞羞的

修复方案：

..........

版权声明：转载请注明来源 1937nick@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：3

确认时间：2015-08-28 23:11

厂商回复：

感谢关注同程旅游，第一个接口测试页面没什么影响，只是为了方便调试接口，不过还是限制下。洞主后面列的这些本来就是APP中间层的接口啊，要不然客户端信息从哪儿查。接口都是验证签名的，不花时间逆向客户端也无法伪造请求签名，洞主也没有提到越权查看其他人的信息的问题，我没看懂危害在哪里？

最新状态：

2015-08-28：调试页面已删，但是这种没什么影响的，抱歉，给不了高rank和礼品卡。

2015-08-29：这个漏洞因为沟通的原因产生了一些误会，在此道歉。因为调试页面删除了不好按洞主提交时的测试方式复现，周一我们会在测试环境测试，如果确实存在问题我们会补上rank和礼品卡。

漏洞评价：

评论

  1. 2015-08-28 23:01 | 牛 小 帅 ( 普通白帽子 | Rank:363 漏洞数:84 | [code]心若没有栖息的地方，走到哪里都是在...)

    66666 洞主专业xss啊

  2. 2015-08-28 23:03 | 1937nick ( 实习白帽子 | Rank:97 漏洞数:32 | 水能载舟,亦能煮粥。物尽其用,人尽其能。)

    @牛 小 帅 我小菜是来乌云学习的

  3. 2015-08-28 23:27 | YY-2012 ( 普通白帽子 | Rank:2763 漏洞数:641 | 意淫，是《红楼梦》原创的词汇，但后来演变...)

    抱歉，给不了高rank和礼品卡

  4. 2015-08-28 23:34 | 1937nick ( 实习白帽子 | Rank:97 漏洞数:32 | 水能载舟,亦能煮粥。物尽其用,人尽其能。)

    其实把A的签名和订单号 替换照样还是可查询到B的订单的

  5. 2015-08-28 23:41 | 苏州同程旅游网络科技有限公司(乌云厂商)

    @1937nick 加我微信吧 ihacku 真有问题 礼品卡double 补偿rank

  6. 2015-08-29 00:36 | 0xev4l ( 路人 | Rank:0 漏洞数:1 | 努力吧！骚年！北京买房买车买菜！)

    厂商竟然不懂危害是什么。。。你们的数据都是轻松采集下来还不算危害么？竞争对手都能知道你们订单量以及状态等轻松算出你们的业绩

  7. 2015-08-29 02:17 | 苏州同程旅游网络科技有限公司(乌云厂商)

    @0xev4l 拜托没看清楚不要轻易下结论好吗。中间层认签名的，修改了数据之后签名不对，接口直接返回错误。即便出现接口没验证好的情况，也只会是鸡肋的越权，无法规模化利用的。

  8. 2015-08-29 08:00 | 高小厨 ( 普通白帽子 | Rank:814 漏洞数:74 | 不会吹牛的小二不是好厨子！)

    居然截我的图。。。

  9. 2015-08-29 08:18 | 正义的伙伴 ( 实习白帽子 | Rank:95 漏洞数:27 | 正义！！)

    @ 苏州同程旅游网络科技有限公司 我的礼物发了啊！亲╭(╯3╰)╮

  10. 2015-08-29 08:19 | 正义的伙伴 ( 实习白帽子 | Rank:95 漏洞数:27 | 正义！！)

    @苏州同程旅游网络科技有限公司

  11. 2015-08-29 09:03 | qhwlpg ( 普通白帽子 | Rank:226 漏洞数:54 | 潜心代码审计。)

    好热闹

  12. 2015-08-29 18:28 | 红客十年 ( 普通白帽子 | Rank:334 漏洞数:63 | 去年离职富士康，回到家中上蓝翔，蓝翔毕业...)

    @苏州同程旅游网络科技有限公司 顿时菊花一紧…我可是经常在同程上顶机票的……

  13. 2015-08-29 19:32 | 苏州同程旅游网络科技有限公司(乌云厂商)

    @红客十年 只能说标题比较容易引起误解，就是一个测试调试页，搞的好像信息随便查一样...

  14. 2015-08-29 19:39 | 1937nick ( 实习白帽子 | Rank:97 漏洞数:32 | 水能载舟,亦能煮粥。物尽其用,人尽其能。)

    @苏州同程旅游网络科技有限公司 你的意思就是我提交虚假漏洞了 那为什么不忽略呢？

  15. 2015-08-29 20:56 | 苏州同程旅游网络科技有限公司(乌云厂商)

    @1937nick 我没这个意思，我只是觉得这个标题容易引发误导。您说的替换签名和订单号就能查到其他订单我也没能复现，看了下因为还有时间戳reqTime等做校验，因为页面运维已经删了这会儿没办法用那个页面查询，周一我会再尝试复现一下。

  16. 2015-08-29 21:16 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

    @1937nick 请不要夸大其词，你真正能拿到数据你是不会这样提交的，而你的标题其实蛮唬人的，你的好心应该是帮助厂商解决问题，而不是夸大其词的来增加麻烦，另外非常感谢您提交这种影响不大的问题！

  17. 2015-08-29 21:34 | 1937nick ( 实习白帽子 | Rank:97 漏洞数:32 | 水能载舟,亦能煮粥。物尽其用,人尽其能。)

    @疯子 标题疯狗有改过 就是我拿到数据又能干嘛？ 能发横财？ 逗....

  18. 2015-08-29 21:42 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

    @1937nick 感谢您的好意，谢谢！

  19. 2015-08-30 11:50 | 刘洪泽 ( 普通白帽子 | Rank:130 漏洞数:35 | 一个到处找密码的小号..........)

    @1937nick 感谢您的好意，谢谢！

  20. 2015-08-31 02:19 | 机器猫 ( 普通白帽子 | Rank:1141 漏洞数:253 | 爱生活、爱腾讯、爱网络！)

    ...

  21. 2015-08-31 14:34 | 路人毛 ( 路人 | Rank:23 漏洞数:10 | 昨晚做梦，挖到了电信都漏洞，被电信起诉了...)

    ...

  22. 2015-09-01 20:25 | 大物期末不能挂 ( 普通白帽子 | Rank:132 漏洞数:23 | 1.一个学渣，只求每门都不挂2.想把漏洞提...)

    ...

  23. 2015-09-02 21:21 | 稀饭粥 ( 路人 | Rank:8 漏洞数:1 | WSNhacking)

    好热闹

  24. 2015-09-21 10:44 | 1937nick ( 实习白帽子 | Rank:97 漏洞数:32 | 水能载舟,亦能煮粥。物尽其用,人尽其能。)

    @苏州同程旅游网络科技有限公司 礼品卡收到了，感谢