当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0199404

漏洞标题：APP安全之拉拉公园泄露大量同性交友用户名密码/手持身份证照/可禁言/封禁用户/直达后台(内含福利图)

相关厂商：lespark.us

漏洞作者： 小龙

提交时间：2016-05-17 17:29

修复时间：2016-07-02 11:10

公开时间：2016-07-02 11:10

漏洞类型：XSS 跨站脚本攻击

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-05-17： 细节已通知厂商并且等待厂商处理中
2016-05-18： 厂商已经确认，细节仅向厂商公开
2016-05-28： 细节向核心白帽子及相关领域专家公开
2016-06-07： 细节向普通白帽子公开
2016-06-17： 细节向实习白帽子公开
2016-07-02： 细节向公众公开

简要描述：

LesPark(拉拉公园，Lpark)是一款全球女同性恋交友软件app，LPark是基于地理位置的全球专属拉拉的移动社交平台[1] 让同好友人在手机端无时无刻进行沟通约会和心情分享。
成立了一年半，团队一共15个人，拉拉公园创始人廖卓营自己都觉得“扩张得有点保守”。但就是这15个人，运作着一个有150万用户的女同性恋社区。
虽然目标市场相对小众，但竞争环境同样激烈，容不得他“慢慢来”。廖卓营正在逐渐从保守的发展策略中走出来。今年3月份成为首个京东股权众筹案例的拉拉公园，最终获得了620万元投资。而在此之前，拉拉公园拿过两笔小额投资——来自红岭创投的100万元和薛蛮子的300万元。

详细说明：

1.png


在APP反馈处插入xss
坐等cookie
toplocation : http://api.lespark.us/feedback_view?&last_id=57144342c2fa5169c09fa132
cookie : WRUID=13639771.110405497; __CT_Data=gpv=14&apv_30356_www02=14&cpv_30356_www02=14; _ga=GA1.2.281369174.1436776967; CNZZDATA1252971471=522871119-1449730649-http%253A%252F%252F192.168.1.100%253A8080%252F%7C1449730649; user_name="2|1:0|10:1460950871|9:user_name|16:cmV2aWV3X2FkbWlu|e05700cb2868c4c248b0104ca7855c56dea1e4fc6d314dad711f1405fe94935d"
伪装进去



mask 区域


***** 私信数 反馈数 ^*****
***** 6931 69552 4205*****


网站自带统计出来的结果

2.jpg


3.jpg


这是些达人，好多下一页。。一直按不会停- -

达人.jpg


图片审核

图片审核.jpg


帖子管理，黄图泛滥区啊

帖子管理.jpg


群组管理

恶心。。.jpg


新人帖子审核

新人审核.jpg


明星.jpg


周华健他们
同城话题

同城话题.jpg


APP全用户的密码都可查看到。
首先我们找ID

userid.jpg


当然我们也可以直接抓包改userid
我们可以找到ID是57164b28c2fa512eda63b6da
我们只要达到2个条件就可以了
1：手机号码
2：userid

查找信息步骤.jpg


pass.jpg


mask 区域 
*****f248ac73@lespa*****
**********
*****'SM-J3109&*****
**********
*****ea\u662f\u4e00\u7c92\*****
**********
*****4be06295366cdee4c4*****


漏洞证明：

11

修复方案：

11

版权声明：转载请注明来源 小龙@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2016-05-18 11:08

厂商回复：

该漏洞会泄露用户信息，非常感谢作者帮助提高我们的安全性。

最新状态：

暂无

漏洞评价：

评价

  1. 2016-04-22 19:06 | _Thorns ( 普通白帽子 | Rank:1799 漏洞数:276 | 以大多数人的努力程度之低，根本轮不到去拼...)

    表哥，你这一天天都在关注啥...

  2. 2016-04-22 19:10 | 钥匙君 ( 实习白帽子 | Rank:46 漏洞数:17 | 一个懒人)

    你咋都下载这些APP。。

  3. 2016-04-22 19:17 | prolog ( 普通白帽子 | Rank:975 漏洞数:206 )

    表哥，你这一天天都在关注啥...

  4. 2016-04-22 19:18 | 小龙 ( 普通白帽子 | Rank:2794 漏洞数:549 | 我就问，还有谁！！！！！！！！！！！！！...)

    我不是基友，我不搞基啊。楼下的别说了。 我喜欢妹纸！

  5. 2016-04-22 20:25 | 随风的风 ( 普通白帽子 | Rank:259 漏洞数:96 | 微信公众号：233sec 不定期分享各种漏洞思...)

    表哥，你这一天天都在关注啥...

  6. 2016-04-22 20:33 | px1624 ( 普通白帽子 | Rank:1173 漏洞数:208 | px1624)

    你这一天天都在关注啥...

  7. 2016-04-22 20:46 | 浩天 认证白帽子 ( 普通白帽子 | Rank:925 漏洞数:80 | 哈！躁起来！)

    洞主攻受兼备，鉴定完毕

  8. 2016-04-22 20:47 | 小龙 ( 普通白帽子 | Rank:2794 漏洞数:549 | 我就问，还有谁！！！！！！！！！！！！！...)

    @浩天 你又黑我，不开心 %>_<%

  9. 2016-04-22 20:47 | 小龙 ( 普通白帽子 | Rank:2794 漏洞数:549 | 我就问，还有谁！！！！！！！！！！！！！...)

    @px1624 关注搞基佬们的隐私啊- -

  10. 2016-05-17 17:36 | Nan3r ( 实习白帽子 | Rank:44 漏洞数:16 | 没有简介)

    拉拉公园是什么鬼。

  11. 2016-05-17 17:36 | prolog ( 普通白帽子 | Rank:975 漏洞数:206 )

    表哥，你这一天天都在关注啥...

  12. 2016-05-17 17:58 | 刘海哥 ( 普通白帽子 | Rank:135 漏洞数:30 | 索要联系方式但不送礼物的厂商定义为无良厂...)

    这都是资源啊！

  13. 2016-05-17 18:15 | Vinc ( 普通白帽子 | Rank:383 漏洞数:58 | 提莫队长正在待命！)

    0 1

  14. 2016-05-17 18:26 | f4ckbaidu ( 普通白帽子 | Rank:265 漏洞数:33 | 开发真是日了狗了)

    明明是百合被你们说成搞基

  15. 2016-05-17 19:33 | Hax0rs ( 实习白帽子 | Rank:77 漏洞数:17 | Hax0rs)

    女同性恋社区。

  16. 2016-05-17 20:15 | 伤剑 ( 普通白帽子 | Rank:230 漏洞数:89 | 此号不是本人了！)

    aaaaaaaaaaaaaaaaaaaaaaa

  17. 2016-05-17 20:24 | SREAUDIO ( 实习白帽子 | Rank:42 漏洞数:13 | 努力学习，磨练技术)

    看一发姿势

  18. 2016-05-17 22:18 | 放逐 ( 路人 | Rank:2 漏洞数:1 | 白帽子放逐Gg？得失乐与悲与Av Qq205655539)

    网恋小王子大龙哥？

  19. 2016-05-18 09:19 | 湖南青果软件有限公司(乌云厂商)

    @小龙 一般搞基的从来不说自己搞基。

  20. 2016-05-18 11:49 | 大师兄 ( 实习白帽子 | Rank:31 漏洞数:8 | 每日必关注乌云)

    @湖南青果软件有限公司 太有道理了！我一直点头到现在！！！！

  21. 2016-06-07 13:54 | 伤剑 ( 普通白帽子 | Rank:230 漏洞数:89 | 此号不是本人了！)

    @湖南青果软件有限公司 你咋知道的。。你是不是也。。