当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0195338

漏洞标题：不小心进了51付呗云管家后台（千万级流水账）

相关厂商：51fubei.com

漏洞作者： Aasron

提交时间：2016-04-12 19:08

修复时间：2016-05-28 13:10

公开时间：2016-05-28 13:10

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-04-12： 细节已通知厂商并且等待厂商处理中
2016-04-13： 厂商已经确认，细节仅向厂商公开
2016-04-23： 细节向核心白帽子及相关领域专家公开
2016-05-03： 细节向普通白帽子公开
2016-05-13： 细节向实习白帽子公开
2016-05-28： 细节向公众公开

简要描述：

标题党一次

详细说明：

#1 前言
这个是与支付宝合作的橱窗，已经对接了支付宝，具体的我在官网上截了几个图

1.png


1.png


入驻的商户已经很多了，发展比较迅速
#2
直接来说问题
支付宝云管家后台管理系统

http://115.29.169.166


Discovered open port 111/tcp on 115.29.169.166
Discovered open port 443/tcp on 115.29.169.166
Discovered open port 22/tcp on 115.29.169.166
Discovered open port 80/tcp on 115.29.169.166
Discovered open port 3306/tcp on 115.29.169.166
Discovered open port 3690/tcp on 115.29.169.166


观察端口开放情况
3690端口开放，即SVN服务，没什么大的作用

1.png


3306支持外连，现在有个两个方案，前台存在一处涉及缺陷，同时也开放了22和3306,可以进行枚举，而我选择了前者
#3 字典准备中...
来到前台观察后，竟然没过期机制，但是会封掉IP，换代理就好了

1.png


结果就进去了，审核的需要账号密码找我，我后面另外加了一个账号，但是权限不够

漏洞证明：

#4

1.png


1.png


1.png


这每天的成交额达1000多万，很是羡慕

1.png


数据分析

1.png


1.png


这里面的通知系统，可以给商户和用户发送短信通知

1.png


APP宣传页可替换

1.png


1.png


当然还可以管理商户

1.png


可一键登录代理商户管理系统

1.png


还可以进行交易数据及交易明细流水账的查询
我这里就不截图了

修复方案：

过期机制

版权声明：转载请注明来源 Aasron@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：3

确认时间：2016-04-13 13:03

厂商回复：

这个为测试环境，都是些测试，会考虑做访问限制，谢谢反馈

最新状态：

暂无

漏洞评价：

评价

  1. 2016-04-12 10:56 | prolog ( 普通白帽子 | Rank:811 漏洞数:164 )

    666

  2. 2016-04-12 11:50 | 灬相随灬 ( 普通白帽子 | Rank:395 漏洞数:76 | 大胆天下去得，小心寸步难行。)

    666

  3. 2016-04-12 15:23 | 無名老人 ( 路人 | Rank:19 漏洞数:4 | 干过开发，日过渗透，江湖人称： 少女杀手)

    666

  4. 2016-04-12 16:33 | 随风的风 ( 普通白帽子 | Rank:255 漏洞数:94 | 微信公众号：233sec 不定期分享各种漏洞思...)

    666

  5. 2016-04-12 19:32 | Martial ( 普通白帽子 | Rank:2545 漏洞数:362 | 竟然还有人冒充我，醉了，骗子QQ445697541...)

    不小心进去了？祝好

  6. 2016-04-13 14:06 | px1624 ( 普通白帽子 | Rank:1137 漏洞数:198 | px1624)

    666 3rank

  7. 2016-04-13 14:25 | prolog ( 普通白帽子 | Rank:811 漏洞数:164 )

    千万级测试环境

  8. 2016-04-13 15:09 | 付呗(乌云厂商)

    @prolog 都是些假数据,方便做测试用的

  9. 2016-04-13 16:27 | sysALong ( 普通白帽子 | Rank:360 漏洞数:73 | 在我们黑龙江这噶哒，就没有什么事是【撸串...)

    真不怕被查水表，如果钱有一点变动第一个找你。。。信不信由你。。