漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-026139
漏洞标题：金华市自来水在线查询问题
相关厂商：金华市自来水公司
漏洞作者： 小鱼儿
提交时间：2013-06-17 17:58
修复时间：2013-08-01 17:58
公开时间：2013-08-01 17:58
漏洞类型：网络敏感信息泄漏
危害等级：中
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-06-17： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-08-01： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
今天上网交水费，手贱，发现了这个问题...
真怕有人上门来查水表啊~~~~
详细说明：
http://www.jhwater.cn/web/net/water_cost_index.asp?icYhId=106203
直接修改后面的icYhId即可遍历所有的待缴费记录。。。。
如果写一个爬虫遍历所有的ID，那么我就可以抓取到金华市所有装了水表用户的个人信息。
查看里面的用水情况，理论上可以算出金华市住宅的空置率。
以及该用户所有的缴费记录。。。
漏洞证明：
http://www.jhwater.cn/web/net/water_cost_index.asp?icYhId=106203
直接修改后面的icYhId即可遍历所有的待缴费记录。。。。
如果写一个爬虫遍历所有的ID，那么我就可以抓取到金华市所有装了水表用户的个人信息。
查看里面的用水情况，理论上可以算出金华市住宅的空置率。
以及该用户所有的缴费记录。。。
修复方案：
版权声明：转载请注明来源 小鱼儿@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝