漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-099766
漏洞标题：瑞天速汇快递物流公司存在经典or登录漏洞+客户信息遍历漏洞
相关厂商：瑞天速汇
漏洞作者： 乐乐蜀黍
提交时间：2015-03-06 11:20
修复时间：2015-04-20 14:22
公开时间：2015-04-20 14:22
漏洞类型：账户体系控制不严
危害等级：中
自评Rank：8
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-03-06： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-04-20： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
可导致曾经在此网站转运过的客户家庭地址、手机号码、邮件帐户等信息泄露。
详细说明：
两处后台登陆地址：
https://rt-express.com/rt_home/rb/ogsu_main.php
https://rt-express.com/rt_home/be/ogsu_profile.php
都可以用经典的or漏洞登录，在用户名和密码输入框：'or''='。证明图片如下:
漏洞证明：
google搜索关键词：site:rt-express.com/rt_home/
可导致客户生成过的订单信息泄露，手机号，家庭住址等
修复方案：
修复代码，屏蔽蜘蛛爬敏感目录，更改网站敏感目录地址。
版权声明：转载请注明来源 乐乐蜀黍@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝