记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

特急送敏感信息泄露漏洞(大量快递面单信息泄露)

2014-11-03 13:20

名称:特急送敏感信息泄露漏洞

异常或问题描述:

由于逻辑设计缺陷,可悲非授权访问,不法分子可以利用撞库等手段轻松获取其客户及员工的敏感信息甚至泄露客户商业机密。

涉及范围:辽宁特急送员工及客户

异常解决措施:订单查询输入验证码,增加随即查询密码,订单编号印制的时候采取随即不重复数列取代现有连续编号。

异常验证测试记录:通过

攻击代码:无

攻击复杂度:低

认证:无

机密性:完全地

完整性:无

可用性:误

具体问题见漏洞证明截图

漏洞证明:

http://lntjs.vicp.net/query.asp

图片1.png

图片2.jpg

图片3.jpg



注意这里每个单子至少有一个扫描件

点开得到如下详细信息

a1013941620.jpg

a1013941621.jpg

a1013941622.jpg

a1013941623.jpg

a1013941624.jpg

a1013941625.jpg

a1013941626.jpg

a1013941628.jpg

a1013941629.jpg

图片4.jpg

图片5.jpg



订单印制问题

特急送.JPG

修复方案:

修复方案:

增加查询验证码、增加查询密码、快递单号打印的时候不要连续随机不重复即可。


知识来源: www.wooyun.org/bugs/wooyun-2014-076515

阅读:280927 | 评论:0 | 标签:漏洞

想收藏或者和大家分享这篇好文章→复制链接地址

“特急送敏感信息泄露漏洞(大量快递面单信息泄露)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

ADS

标签云