当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0187549

漏洞标题：TCL某系统漏洞可GETSHELL(涉及大量网点和配送/售后维保/用户/货仓/出车记录等详细信息)

相关厂商：TCL官方网上商城

漏洞作者： 路人甲

提交时间：2016-03-22 09:13

修复时间：2016-05-06 09:58

公开时间：2016-05-06 09:58

漏洞类型：服务弱口令

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-03-22： 细节已通知厂商并且等待厂商处理中
2016-03-22： 厂商已经确认，细节仅向厂商公开
2016-04-01： 细节向核心白帽子及相关领域专家公开
2016-04-11： 细节向普通白帽子公开
2016-04-21： 细节向实习白帽子公开
2016-05-06： 细节向公众公开

简要描述：

安全无小事，千里之堤溃于蚁穴！

详细说明：

幸福树管理系统http://61.142.114.199/

1.png


weblogic口令：帐weblogic/ktxxglb****

1.png


GETSHELL：http://61.142.114.199/wO0yun/index.jsp w@@y.

1.png

漏洞证明：

524590配送信息：配送发货人员信息、发货地址以及收货人姓名、电话住址、身份证等信息

1.png


4.png

1.png


零零散散：

1.png


5.png


1.png


1.png


1.png

4.png


货物出车信息：

1.png

4.png


224252条出车信息：

1.png

4.png


1736392电子商务平台售货信息：

1.png


4.png


5.png


用户信息：

1.png

4.png


1.png


tclcss库信息：

1.png


1.png


网点信息，涉及的量化信息上亿：

1.png


货物存储信息：

1.png


6321059用户信息：

1.png

4.png


5803059条：

1.png

4.png


售货以及安装信息：

1.png

4.png


1.png

4.png

5.png

6.png


7.png


4903500条：

1.png

4.png


售后维修信息：

1.png

4.png

5.png

6.png

7.png


发货信息：

1.png

修复方案：

对系统进行一次全面安全检查。

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2016-03-22 09:58

厂商回复：

已经协调相关人员进行整改，感谢您对TCL的关注。

最新状态：

暂无

漏洞评价：

评价