记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

易客满可查询用户订单详情(包括姓名/身份证号码/电话号码和住址等)

2014-10-15 01:30

注册该网站在不填写任何我个人信息的情况下通过查询订单可以列出其他人的订单。里面包括:

商品信息

收货人信息(姓名,身份证,电话,收货地址)

运费信息

漏洞证明:

注册后点击

http://www.trans4e.com/C2C/service/oms/order_detail.html?op=O14092194999

http://www.trans4e.com/C2C/service/oms/order_detail.html?op=O14092194994

便可查看该订单信息



点击我的订单会列出一串订单列表

01.jpg



以下是随机点的一个订单信息

02.jpg



2.png



03.jpg



04.jpg



再测试另外一个

05.jpg

修复方案:


知识来源: www.wooyun.org/bugs/wooyun-2014-077139

阅读:390325 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“易客满可查询用户订单详情(包括姓名/身份证号码/电话号码和住址等)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

ADS

标签云