当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0153813

漏洞标题:约单APP某漏洞导致可泄露大量用户敏感信息

相关厂商:约单

漏洞作者: whosec

提交时间:2015-11-19 19:11

修复时间:2016-01-11 15:32

公开时间:2016-01-11 15:32

漏洞类型:XSS 跨站脚本攻击

危害等级:高

自评Rank:20

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-11-19: 积极联系厂商并且等待厂商认领中,细节不对外公开
2016-01-11: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

约单APP是国内最大的时间交易平台,中国版的Thumbtack,您可以出售您的时间,比如可以陪看电影,陪跑步等,同时您也可以提供技能服务,比如上门按摩,模特外拍,瑜伽、外语等培训等。

详细说明:

约单APP是国内最大的时间交易平台,中国版的Thumbtack,您可以出售您的时间,比如可以陪看电影,陪跑步等,同时您也可以提供技能服务,比如上门按摩,模特外拍,瑜伽、外语等培训等。
平台已融资5000万
前几天,女神告诉我她在玩一个APP。我发现她竟然和别人经常约会,让我很生气。双11的晚上我还在打飞机,今天就看到她和别人在约会。根本让我这个屌丝受不了,于是决定上去看看到底是什么人在约我的女神。

漏洞证明:

这是一个漏洞集合报告,希望rank能高一点,由于怕影响系统正常运营和查水表,没有进一步shell和提权。
漏洞一:任意用户密码重置漏洞
手机下载客户端。抓包,密码重置处。
客户端POST两个包,第二个里面就会有你想要的验证码。
Mobile参数填入你女神的手机。

V_%KH)]T2XX~`OY0B8RS%EG.png


Checkcode 你懂的。

1_CM45TKM404KANK]1~O9@N.png


这时候你就可以修改你女神的密码。然后去看看女神最近跟什么人在约了,她有什么需求。你都知道了。
漏洞二:注册验证码和重置密码验证码可以爆破,没什么技术含量
具体细节就不说了。 测试了个13888888887 密码12345678
恩,这号的主人才是真土豪~~~!~~~~~
漏洞三。
多处XSS
因为实在太多,基本只要是提交到后台的文本框都可以,不一一贴了

}%H8%{S3%[O1G[K1CZG1NNM.png


又TM没钱赚。免费做了个测试。。
自然,后台就来了

QQ截图20151112125620.png


这么多用户…

QQ截图20151112131607.png


好多美女模特啊!!!!!!!!!!!!!!!!!!!!电话,照片,地址你全都可以有啊~
筛选一下,只要模特,要漂亮的

QQ截图20151112131643.png


QQ截图20151112131857.png


我稍微找了个漂亮的小妹妹,截图了下。你们自行YY。

QQ截图20151112132155.png


最牛逼的来了~~~

QQ截图20151112132424.png


修改更新地址,APK。124万肉鸡就尼玛来了!!。
声明:没有复制任何资料,没有进行任何危害操作,没有dump任何数据。没有上传任何文件。友(kan)情(kan)检(mei)测(zi),就(zhuang)是(ge)这(xiao)样(B)。
我真希望这是个好厂商,能正视安全问题。比如立(gei)即(dian)修(li)复(wu)。

修复方案:

跟开发沟通下,过滤下就好。不过还有很多小问题。5000万互联网企业是不应该缺乏安全团队的~~

版权声明:转载请注明来源 whosec@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)


漏洞评价:

评价