记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

麦包包一处越权漏洞可获取他人收货地址

2014-09-16 04:05

1.麦包包的个人收获地址网址:http://my.mbaobao.com/member/profile/address,新增自己收货地址。

 

mb1.jpg



2.写好自己的地址,保存
 

mb2.jpg



3.编辑自己的收获地址
 

mb3.jpg



4.保存,查看发送的请求,有一个oprateId,修改
 

mb4.jpg



5.然后查看自己的收获地址中,多了一个人的名字,而且手机号码也显示出来了
 

mb5.jpg



6.通过遍历,发送请求,可以得到许多用户的名字,电话号码有的会被**打掉
 

mb6.jpg



7.为了更好的测试此漏洞,又新建了一个账户,账户姓名,王尼玛,电话号码,如果经过修改过,就不会被**打掉,证明上面漏洞遍历id的话还是能获取全部人姓名一部分人的电话的
 

mb7.jpg



8.修改王尼玛的地址,查看请求的id
 

mb8.jpg



9.利用第一个帐号,在请求一下王尼玛id
 

mb9.jpg



10.好了,王尼玛的姓名和电话号码被加入列表中了
 

m10.jpg



11.最后发现一个漏洞,就是当第一个用户请求到王尼玛的id姓名之后,第二个用户查看自己填写的王尼玛资料没有了,利用这个遍历id可以删除别人填写的所有地址。
 

m11.jpg






 

 

修复方案:

增加权限控制,他人id资料,无权访问修改。

知识来源: www.2cto.com/Article/201409/333898.html

阅读:90396 | 评论:0 | 标签:漏洞

想收藏或者和大家分享这篇好文章→复制链接地址

“麦包包一处越权漏洞可获取他人收货地址”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

九层之台,起于垒土;黑客之术,始于阅读

推广

工具

标签云