广东体彩某系统漏洞（涉及全部个人包括体彩售卖商户详细信息/泄露大量历史中奖信息/影响全广东体彩信息）

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0163869

漏洞标题：广东体彩某系统漏洞（涉及全部个人包括体彩售卖商户详细信息/泄露大量历史中奖信息/影响全广东体彩信息）

漏洞作者：路人甲

提交时间：2015-12-23 14:51

修复时间：2016-02-07 17:56

公开时间：2016-02-07 17:56

漏洞类型：命令执行

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(广东省信息安全测评中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2015-12-23：细节已通知厂商并且等待厂商处理中
2015-12-25：厂商已经确认，细节仅向厂商公开
2016-01-04：细节向核心白帽子及相关领域专家公开
2016-01-14：细节向普通白帽子公开
2016-01-24：细节向实习白帽子公开
2016-02-07：细节向公众公开

简要描述：

详细说明：

从广东体彩服务系统反序列化命令执行**.**.**.**/ 在服务器上翻到了数据库的配置，然后翻到了广州体彩数据库的配置，http://**.**.**.** IP =**.**.**.**，通过一系列的翻看，数据库包含了，全广东的采彡PIAO商户信息，（就是体彩售卖点），还有大量工作日志，以及中奖人和购买体彩人的信息，，数据量太大，在数据库每次查看1000行。
全广东的体彩售卖点都能在此数据库找到详细的商户信息。。。