当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0194464

漏洞标题:当当网某漏洞影响15年1月1号至今数千万快递信息(收货人姓名/手机号/详细家庭住址已在贩卖)

相关厂商:当当网

漏洞作者: getshell1993

提交时间:2016-04-10 09:14

修复时间:2016-05-26 10:10

公开时间:2016-05-26 10:10

漏洞类型:后台弱口令

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-04-10: 细节已通知厂商并且等待厂商处理中
2016-04-11: 厂商已经确认,细节仅向厂商公开
2016-04-21: 细节向核心白帽子及相关领域专家公开
2016-05-01: 细节向普通白帽子公开
2016-05-11: 细节向实习白帽子公开
2016-05-26: 细节向公众公开

简要描述:

看来问题要公开厂商才会重视
江苏省15年1月1号至今运单合计:5632290
全国23个省的话保守估计数千万甚至上亿(实时数据,含收货人姓名/手机号/详细家庭住址)
QQ群经常有人在售卖当当网数据……

详细说明:

起因 一个月前nosec平台上有人发了QQ群每天黑产在售卖当当网数据的威胁情报
https://nosec.org/my/threats/874

1.png


第二天晚上看了一下发现当当快递管理系统存在大量弱口令,可以获取到大量用户实时数据,跟搞黑产发的截图信息很相似,于是在nosec上补充了细节,武哥那边也通知了厂商。
……
隔了一个月时间,今晚再次看发现厂商修复了一部分,提供的部分弱密码改了,设置新密码也加强了密码强度,需要10位以上,但是旧的弱口令没排查,重置新密码后还是可以登录!想了想还是来乌云一发
http://ecadmin.ddexp.com.cn/ 当当快递系统
txtUsername=chenrui&txtPassword=chenrui123(登陆需要强制修改密码,改成1234qwer!@#$)
txtUsername=zhaopengfei&txtPassword=zhaopengfei123
txtUsername=huying&txtPassword=huying123
txtUsername=lizhidan&txtPassword=lizhidan123
txtUsername=yangting&txtPassword=yangting123

2.png


江苏省一个省份15年1月1号至今运单合计:5632290 后台支持一键导出excel表
这仅仅是一个省份的

3.png


打开其中一个看一下,含收货人姓名/手机号/详细家庭住址

4.png

漏洞证明:

然而订单的地方存在越权,可以进一步获取到全国当当的快递数据。
简单列举今晚其中几个省份的快递数据
江苏省 2016-4-9 21:35:34
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691944
湖北省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691967

5.png


安徽省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691999

11.png


陕西省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692094

6.png


广西省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692177

7.png


湖南省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692124

8.png


广东省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692230

9.png


山西省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692360

10.png


…………
不再一一列举
23省*500万,上亿数据都有可能。。
声明:好人一个,未动任何数据

修复方案:

赶紧下线处理吧。。

版权声明:转载请注明来源 getshell1993@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:16

确认时间:2016-04-11 10:07

厂商回复:

感谢对当当安全的支持

最新状态:

暂无


漏洞评价:

评价

  1. 2016-04-10 10:32 | hack雪花 ( 实习白帽子 | Rank:89 漏洞数:21 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    CCTV看这里

  2. 2016-04-10 11:07 | Yuku ( 实习白帽子 | Rank:58 漏洞数:27 | 数据挖掘)

    应该是nosec一个月前提到的威胁情报

  3. 2016-04-10 15:18 | getshell1993 认证白帽子 ( 普通白帽子 | Rank:1140 漏洞数:122 | ~!@#¥%……&*)

    泄露信息增长速度太恐怖了,昨晚到现在又增加10几万数据。黑产贩卖一条数据几毛钱。。。

  4. 2016-04-10 16:06 | BeenQuiver ( 普通白帽子 | Rank:103 漏洞数:27 | 专注而高效,坚持好的习惯千万不要放弃)

    @getshell1993 666

  5. 2016-04-10 16:40 | Yuku ( 实习白帽子 | Rank:58 漏洞数:27 | 数据挖掘)

    @getshell1993 日赚n万

  6. 2016-04-11 10:08 | 盛大网络(乌云厂商)

    @getshell1993 so?