当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0150987

漏洞标题:艺龙旅行网内网漫游可查全国开房记录(可查实时手机验证码\任意密码重置\可获得主站源代码\订单数据库配置等)

相关厂商:艺龙旅行网

漏洞作者: 鸟云厂商

提交时间:2015-11-01 08:01

修复时间:2015-12-19 10:18

公开时间:2015-12-19 10:18

漏洞类型:成功的入侵事件

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-11-01: 细节已通知厂商并且等待厂商处理中
2015-11-04: 厂商已经确认,细节仅向厂商公开
2015-11-14: 细节向核心白帽子及相关领域专家公开
2015-11-24: 细节向普通白帽子公开
2015-12-04: 细节向实习白帽子公开
2015-12-19: 细节向公众公开

简要描述:

艺龙旅行网内网漫游可查全国开房记录(可查实时手机验证码\任意密码重置\可获得主站源代码\订单数据库配置等)

详细说明:

今天升级了自己的小字典
通过百度搜索知道了艺龙邮箱的格式
名字全拼.姓氏全拼@elong.com
邮件地址https://mail.corp.elong.com
OWA,可爆破
最后得到一枚无权限账户(邮箱只有入职指南)

mask 区域
*****@elon*****
*****34*****


在入职指南的文档中得到VPN地址

1、VPN权限
2、文件、财务服务器访问
3、商业软件安装
VPN登录地址:http://211.***.***.152 ,权限开通后,使用您的邮箱账户进行登录即可。


用邮箱账号密码登录成功,VPN没有任何系统权限,但是此时已经处于内网环境
开启探测
使用子域名工具得知
http://tech.corp.elong.com指向某内网IP
打开页面是艺龙Wiki

屏幕快照 2015-11-01 上午3.49.42.png


Wiki往往是敏感信息最多的地方
在wiki中收集信息,得到elong内网的各网段说明文档
厂商注意,下面贴出的网段列表内容处于乌云mask标签中,其他白帽子看不到内容,请放心

mask 区域
***** (Office内部*****
*****24 (ebj-b2 Of*****
*****cp1-a.bjs和cp1-*****
*****30 (互联通I*****
***** /24 (edodo^*****
*****23 (Travelsky*****
***** /24 (中信*****
*****.9.0 /24 (*****
*****(公司高管^*****
*****4 (无线局^*****
*****4 (无线局^*****
*****.50 /32 (交*****
*****.200 /31 (Gu*****
*****30 (B28-交通^*****
*****0 /31 (广发*****
*****^^交通银行专*****
*****24 (VM-home-vi*****
*****.161.0 /24*****
*****.162.0 /24*****
*****.0 /24 (XICI*****
***** (XICI IDC网^*****
***** c3560-a.wht/c3560*****
*****roxy1.xici.bjc连*****
*****(c3560-a.wht连^*****
*****asa5500-1.ebj-b2*****
*****21 (分公司^*****
*****(到中国银行*****
***** (IDC1新增交*****
***** 10 VLAN 20--CAE-I*****
*****.0 /24 (Set 11 VLAN 21*****
*****.0 /24 (Set 12 VLAN 22*****
*****c3825-2.ebj-b2,*****
*****8.11.0 /24*****
*****8.12.0 /24*****
*****^^国电信合作*****
*****(中国电信合*****
*****6亦庄IDC^*****
*****e网络设备管*****
*****网络设备管^*****
*****^^络设备管^*****
*****bjy ---- n7010-b.*****
*****.bjy ---- c4948-b*****
*****.bjy ---- c4948-a*****
*****.bjy ---- c4948-b*****
*****.bjs ----- n7010-*****
*****.bjs ----- n7010-*****
*****7K-A.BJS----N7*****
*****7K-B.BJS----N7*****
*****0 (N7K-A.BJY*****
*****0 (N7K-B.BJY*****
*****0 (C4948-C.B*****
*****(N7K-A.BJY---*****
***** (internet ^*****


这样就给了内网扫描器很好的素材
对几个资源丰富的网段扫了一番
发现了SVN


此处登录可以查看SVN权限

http://192.168.0.171/submin/login/


此链接可以直达SVN目录

http://192.168.0.171/svn/Code


SVN的Web登录界面没有验证码和防爆机制
用字典爆破出几个弱口令用户,密码123456

mask 区域
*****nv_R*****
*****.zha*****
*****alu*****
*****feng.*****
*****ing*****
*****un.*****



登录其中一个账号,权限是

onlineweb_java_dev
onlineweb__dev
mobile_dev


在Wiki中检索信息
onlineweb__dev这个目录看起来会有好东西
翻了翻Svn,发现了elong主站源代码

m.elong.com


屏幕快照 2015-11-01 上午3.59.42.png


对比一下SVN和线上代码,一毛一样
SVN:

屏幕快照 2015-11-01 上午4.00.21.png


线上:

屏幕快照 2015-11-01 上午4.02.04.png


<link rel='dns-prefetch' href='http://m.elong.com'>

<title>酒店预订专家_艺龙网移动版</title>
<!-- 由main.sass 生成 -->
<link rel="stylesheet" href="/slarkjs/dist/hotel/homepage.css" />
<link rel="stylesheet" href="/slarkjs/lib/idangerous.swiper.css" />
<style>
</style>
</head>
<body>
<div class="pages">
<div class="page">
<div class="page-content page-search">
<span class="logo"></span>
<div class="swiper-container">
<div class="swiper-wrapper">
<div class="swiper-slide" style="background:url(http://m.elongstatic.com/static/webapp/hotel/2015/08/v6/img/loadingimg.gif) no-repeat center;"></div>
</div>
<!-- Add Pagination -->
<div class="swiper-pagination"></div>
</div>
<div class="search-wrap">
<div class="search-lb">
<ul class="search-list">
<li class="addr">
<i class="addr"></i>
<p class="cityname" city-id=""></p>
<i class="icon-left"></i>
<b class="right isnearby"><i class="icon-nearby"></i><span>附近</span></b>
</li>
<li class="date">
<i class="icon-time"></i>
<div class="d1"><p class="type">入住<span class="night" style="visibility: hidden">深夜</span></p><p><span class="indate" data-value=""></span><span class="startweek"></span></p></div>
<div class="d2"></div>
<div class="d3"><p class="type">离店</p><p><span class="outdate" data-value=""></span><span class="endweek"></span></p></div>
<div class="d4 total"></div>
<i class="icon-left"></i>
</li>
<li class="name"><!--输入内容添加on-->
<div class="sea-box">
<i class="name"></i>
<input type="input" value="" placeholder="酒店名称/位置不限" readonly="readonly">
<i class="icon-left"></i>
</div>


酒店业务数据接口

mport com.elong.titan.hotel.agent.resp.GetPayTokenResp;
import com.elong.titan.hotel.agent.resp.GetPoiDetailInfoResq;
import com.elong.titan.hotel.agent.resp.HasHotelFavoriteResp;
import com.elong.titan.hotel.agent.resp.HotelDestinationSugResp;
import com.elong.titan.hotel.agent.resp.HotelOrderPayResp;
/**
* @Description: 酒店业务数据接口实现类
* @author jun.ma1
* @date 2015年4月23日
*/
@Service
public class HotelAgentImpl implements IHotelAgent {
//
// /**
// * 获取酒店详情
// *
// * @author Fasheng.Dai
// * @since 2015-4-3 下午4:55:37
// * @param req
// * @return
// * @throws Exception
// */
// @MEncrypt
// public GetHotelDetailByRoomGroupResp getHotelDetailByRoomGroupResp(GetHotelDetailByRoomGroupReq req) throws Exception {
// // http://mobile-api2011.elong.com/hotel/hotelDetailV4 4000
// /*
// * String mapiUrl = BaseConfig.HotelApiUrl.getValue() + "/hotelDetailV4?"; return HttpHelper.doGet(mapiUrl + req.getAesParams(), req.getHttpHeader(),
// * GetHotelDetailResp.class, 4000);
// */
// String mapiUrl = BaseConfig.HotelApiUrl.getValue() + "/getHotelDetailByRoomGroup?";
// return HttpHelper.doGet(mapiUrl + req.getAesParams(), req.getHt


酒店、团购数据库、订单数据库接口(密码也有)

WeChat_1446322265.jpeg


mask 区域
*****^^史服^*****
*****istorySer*****
1.://**.**.**//192.168.64.22/CommonService/CreditCardHistory.asmx</ServiceUrl>_
*****t;300<*****
*****HistorySe*****
**********
*****^客史^*****
*****HistoryS*****
2.://**.**.**//192.168.64.21:8080/DebitCardHistoryService/DebitCardHistoryInfoRequest/</ServiceUrl>_
*****imeOu*****
*****gt;3000</*****
*****t;3000</O*****
*****gt;5000</R*****
*****t;30000</*****
*****TimeO*****
*****istorySer*****
**********
*****积分^*****
*****intsSer*****
3.://**.**.**//crmws.vip.elong.com/ElongPointsWs/MemPoints.asmx</ServiceUrl>_
*****30000</*****
*****ointsSe*****
*****^^收^*****
*****ectionSe*****
4.://**.**.**//192.168.64.21/EmailCollection.WebService/EmailCollection.asmx</ServiceUrl>_
*****30000</*****
*****lectionS*****


礼品卡等线上代码

屏幕快照 2015-11-01 上午4.43.29.png


运维平台

屏幕快照 2015-11-01 上午5.00.55.png


====================================
某处可查艺龙系统发送给用户的短信
导致任意密码重置、全国开房记录查询
艺龙商务旅行信息查询系统
http://eds.elong.com/mis/index2.asp
之前已经收集了艺龙内部系统用户名了
对该系统进行弱口令探测
得到数十个弱口令账号
随机选择一个登录
wenwen.ren q1q1q1
此处可查全国短信

http://eds.elong.com/mis/sms/sms_find_new.asp


以下是证明,验证码实时可查导致任意账户登录\任意密码重置\查询订单信息

meitu2.jpg


meitu1.jpg


查询开房记录
可以通过手机号、订单号查询开房记录

2.pic_hd.jpg


屏幕快照 2015-11-01 下午5.23.34.png


屏幕快照 2015-11-01 下午5.23.34.png


漏洞证明:

修复方案:

版权声明:转载请注明来源 鸟云厂商@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2015-11-04 10:17

厂商回复:

正在修复,感谢白帽子!

最新状态:

暂无


漏洞评价:

评论

  1. 2015-11-01 11:47 | Taro ( 普通白帽子 | Rank:194 漏洞数:51 | 走向最远的方向,哪怕前路迷茫;抱着最大的...)

    这个。。。

  2. 2015-11-01 11:48 | her0ma ( 普通白帽子 | Rank:641 漏洞数:92 | 专注小厂商三十年!)

    据说有闪电?

  3. 2015-11-01 11:57 | 无敌L.t.H ( 路人 | Rank:21 漏洞数:4 | ‮……肉肉捉活,亭长放解)

    还有订单和源代码?坐等几个大闪电。

  4. 2015-11-01 15:26 | M4sk ( 普通白帽子 | Rank:1218 漏洞数:322 | 国内信息安全任重而道远,还需要厂商和白帽...)

    我猜是司马 哈哈

  5. 2015-11-01 15:40 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1077 漏洞数:139 | 多乌云、多机会!微信公众号: id:a301zls ...)

    居然查我开房记录,干死你。。nnd 不带这样子玩的。

  6. 2015-11-01 18:05 | 行侠 ( 实习白帽子 | Rank:54 漏洞数:18 )

    那你想咋玩?。。。。。。。。。。。

  7. 2015-11-01 18:08 | 鸟云厂商 认证白帽子 ( 核心白帽子 | Rank:1477 漏洞数:153 | 中国菜鸟)

    @zeracker 那你想咋玩?

  8. 2015-11-01 20:23 | 坏男孩-A_A ( 路人 | Rank:10 漏洞数:5 | 菜鸟一枚)

    @zeracker 那你想咋玩-.-

  9. 2015-11-01 21:02 | x7iao ( 普通白帽子 | Rank:366 漏洞数:47 | 文能床上控萝莉,武能床上定人妻)

    666

  10. 2015-11-01 21:25 | nony ( 路人 | Rank:28 漏洞数:14 | Not do is die...)

    坐等忽略

  11. 2015-11-04 09:33 | 鸟云厂商 认证白帽子 ( 核心白帽子 | Rank:1477 漏洞数:153 | 中国菜鸟)

    厂商人呢。。。

  12. 2015-11-04 11:39 | 梧桐树下 ( 普通白帽子 | Rank:313 漏洞数:48 | 一大波洞正在过来……)

    闪电还是如期而至。

  13. 2015-11-23 15:32 | HackBraid 认证白帽子 ( 核心白帽子 | Rank:1755 漏洞数:281 | ...........................................)

    膜拜渗透大牛

  14. 2015-12-04 10:29 | 心云 ( 普通白帽子 | Rank:156 漏洞数:49 | Rank:200 漏洞数:55 | Rank:300 漏洞数:70 ...)

    膜拜