漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0158556
漏洞标题：库表苏宁易购某站数据库可本地导入(泄露整站数据/管理员密码)
相关厂商：江苏苏宁易购电子商务有限公司
漏洞作者： Aasron
提交时间：2015-12-06 10:05
修复时间：2016-01-21 14:20
公开时间：2016-01-21 14:20
漏洞类型：内部绝密信息泄漏
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-12-06： 细节已通知厂商并且等待厂商处理中
2015-12-07： 厂商已经确认，细节仅向厂商公开
2015-12-17： 细节向核心白帽子及相关领域专家公开
2015-12-27： 细节向普通白帽子公开
2016-01-06： 细节向实习白帽子公开
2016-01-21： 细节向公众公开
简要描述：
我不能再这么默默无闻下去了...说好的狗呢~~
网上逛超市，首选苏宁易购
详细说明：
听说苏宁会送东西的，我今天就来友情检测一下吧~~
哟，给力啊~
一看就知道是DZ的论坛，不过万万没想到....我试了一下rar zip等有没有整站源码可以下载，没有..手一哆嗦，打出了.sql结果你知道的，lotus.sql
我们来看看内容
不错~是SQL备份文件，我们来本地导入看看吧!
全表阅览过瘾~看看这是什么
我本来想深入测试一下拿个shell，发现光有后台却无法登陆，后台功能还没有启用，从登陆的IP来看应该是内网传的~具体不知~
来rank,来高分~
漏洞证明：
听说苏宁会送东西的，我今天就来友情检测一下吧~~
哟，给力啊~
一看就知道是DZ的论坛，不过万万没想到....我试了一下rar zip等有没有整站源码可以下载，没有..手一哆嗦，打出了.sql结果你知道的，lotus.sql
我们来看看内容
不错~是SQL备份文件，我们来本地导入看看吧!
全表阅览过瘾~看看这是什么
我本来想深入测试一下拿个shell，发现光有后台却无法登陆，后台功能还没有启用，从登陆的IP来看应该是内网传的~具体不知~
来rank,来高分~
修复方案：
删除备份
版权声明：转载请注明来源 Aasron@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2015-12-07 14:20
厂商回复：
感谢提交
最新状态：
2015-12-07：提示一下洞主，目前第三方漏洞平台奖励计划已经结束，可以关注一下Snsrc，谢谢。