记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华
«爱鲜蜂安卓客户端存在xss可打入后台导致...
美囤妈妈登陆验证码可绕过进而可撞库（影响... »

苏宁易购主站某模块存在批量遍历用户信息

2015-07-01 06:20

问题点在于订单中心-酒店订单模块



翻看了一下在2013年8月在苏宁易购取消了2个订单，发现竟然还有漏洞存在



点击订单中的查看



1.png





修改当前订单号值hotelOrderId即可查看其他用户信息



http://jiudian.suning.com/hotelpay-web/myHotelOrder/showHotelOrderDetail.htm?hotelOrderId=15xxx



2.png





3.png





4.png





批量遍历用户信息 buro设置订单编号参数值范围，通过关键字搜索直接获取用户信息



5.png





6.png





71.png













漏洞证明：

已经证明

修复方案：

开发应该懂的


知识来源: www.wooyun.org/bugs/wooyun-2015-0114419

阅读:85064 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“苏宁易购主站某模块存在批量遍历用户信息”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

ADS

随机推荐

标签云