当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0150948

漏洞标题:从不堪电话诈骗骚扰终于挖出苏宁用户信息泄露漏洞(白帽子亲身经历)

相关厂商:江苏苏宁易购电子商务有限公司

漏洞作者: 路人甲

提交时间:2015-10-31 22:13

修复时间:2015-12-19 16:06

公开时间:2015-12-19 16:06

漏洞类型:用户资料大量泄漏

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-10-31: 细节已通知厂商并且等待厂商处理中
2015-11-04: 厂商已经确认,细节仅向厂商公开
2015-11-14: 细节向核心白帽子及相关领域专家公开
2015-11-24: 细节向普通白帽子公开
2015-12-04: 细节向实习白帽子公开
2015-12-19: 细节向公众公开

简要描述:

自从9.17从苏宁实体店购买几个大电器后,不久就接到几个+4008365365诈骗电话,到现在为止已接到3拨骗子诈骗电话。终于白帽子不堪电话诈骗骚扰,挖出苏宁信息泄露漏洞!!!原来个人订单信息这么容易就泄露啦!程序员该开除了!

详细说明:

首先,在实体店购买产品后,店员没经过我同意就把我的个人资料及订单注册上传到苏宁易购,导致密码我都不知道,只好用手机找回密码,登陆后台,来看看苏宁是怎样出卖我们个人订单信息的!
进入订单中心后,以我帐号为例,地址是:http://www.suning.com/webapp/wcs/stores/servlet/MyOrder?storeId=10052&catalogId=10051&otherOrder=1
出现了我的产品订单:

QQ截图20151031213724.jpg


然后点击查看详情,就会出现订单详细信息,包含订单时间、收货人姓名、联系电话、收货地址、支付及配送方式、发票信息、订单金额等资料。经过修改网址参数多次实验,发现漏洞很大,一个简单的网址就可以把订单详情显示出来,要是写个脚本跑数据,肯定有的订单都出来。漏洞地址:http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=(修改数字参数,可出现不同订单详情)
举例:http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000279131109

QQ截图20151031214209.jpg


http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000279131219

QQ截图20151031214322.jpg


http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000276131219

QQ截图20151031214408.jpg


http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000276231219

QQ截图20151031214508.jpg


http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000176231219

QQ截图20151031214616.jpg


http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000156231219

QQ截图20151031214714.jpg


……………………………………
个人信息改改数字就出来,对骗子来说多么方便啊!怪不得骗子这么猖狂!!!
https://www.baidu.com/s?wd=4008365365%E8%AF%88%E9%AA%97 看看多少受害者

QQ截图20151031215604.jpg


我也是受骚扰用户之一!!!不知道是多少万分之一啊!

漏洞证明:

进入订单中心后,以我帐号为例,地址是:http://www.suning.com/webapp/wcs/stores/servlet/MyOrder?storeId=10052&catalogId=10051&otherOrder=1
出现了我的产品订单:

QQ截图20151031213724.jpg


然后点击查看详情,就会出现订单详细信息,包含订单时间、收货人姓名、联系电话、收货地址、支付及配送方式、发票信息、订单金额等资料。经过修改网址参数多次实验,发现漏洞很大,一个简单的网址就可以把订单详情显示出来,要是写个脚本跑数据,肯定有的订单都出来。漏洞地址:http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=(修改数字参数,可出现不同订单详情)
举例:http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000279131109

QQ截图20151031214209.jpg


http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000279131219

QQ截图20151031214322.jpg


http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000276131219

QQ截图20151031214408.jpg


http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000276231219

QQ截图20151031214508.jpg


http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000176231219

QQ截图20151031214616.jpg


http://member.suning.com/emall/queryLineOrderDetail?omsOrderId=000156231219

QQ截图20151031214714.jpg


……………………………………
个人信息改改数字就出来,对骗子来说多么方便啊!怪不得骗子这么猖狂!!!
https://www.baidu.com/s?wd=4008365365%E8%AF%88%E9%AA%97 看看多少受害者

QQ截图20151031215604.jpg


发个公告几个人能看到呢?http://club.suning.com/forum.php?mod=viewthread&tid=2260494&extra=page%3D1%26filter%3Dtypeid%26typeid%3D1609%26typeid%3D1609

修复方案:

程序猿比我懂!家里还缺台空调,苏宁这么有钱,看着办吧!

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2015-11-04 16:04

厂商回复:

感谢提交,问题确认,找程序猿紧急修复。

最新状态:

暂无


漏洞评价:

评论

  1. 2015-11-01 01:10 | 90Snake ( 普通白帽子 | Rank:124 漏洞数:43 | 最大的漏洞就是人,SSS论坛,各种神思路。)

    是可忍路人甲不可忍!

  2. 2015-11-01 09:00 | 爱与诚一号 ( 路人 | Rank:2 漏洞数:2 )

    楼上是SSS的

  3. 2015-11-01 09:51 | 我是小号6 ( 实习白帽子 | Rank:46 漏洞数:29 )

    我看楼上说楼上的楼上是SSS的

  4. 2015-11-01 12:09 | 90Snake ( 普通白帽子 | Rank:124 漏洞数:43 | 最大的漏洞就是人,SSS论坛,各种神思路。)

    @爱与诚一号 我不是~~但是sss老大经常用我号评论~