漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2014-051201
漏洞标题:不登录通过淘宝ID查看任意买家基本信息以及之前的购买记录
相关厂商:淘宝网
漏洞作者: livers
提交时间:2014-02-17 18:14
修复时间:2014-02-18 09:45
公开时间:2014-02-18 09:45
漏洞类型:设计缺陷/逻辑错误
危害等级:中
自评Rank:15
漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2014-02-17: 细节已通知厂商并且等待厂商处理中
2014-02-18: 厂商已经主动忽略漏洞,细节向公众公开
简要描述:
此漏洞存在有些年头了。
详细说明:
不废话,漏洞地址存在于下面接口:
http://member1.taobao.com/member/user_profile.jhtml?user_id=[vul]
此接口可以直接查询淘宝ID。
通过此接口可以通过淘宝的ID查到淘宝帐号体系user-rate-[id]
通过http://ratehis.taobao.com/ 信用评价网站上可以看到对所购买的商品进行评价。
进而查得购买记录(今天测试了下,貌似最近一周的查不到数据,做了部分修复,我认为还是比较严重)。
由于漏洞存在时间太长(>5年)一些信用查询和购买记录的产业利用此接口。
不用登录 很容易做采集。。。
利用方式见证明:
漏洞证明:
xsser是我随便测试了个帐号[多有得罪],此接口无需登录
可以查到用户的信用等级 注册时间 和地址等基本信息。
接着看 查看购买记录。
此页面做了信用和空间关联,这里 点击左上角的信用评价。
跳转到http://rate.taobao.com/user-rate-726db3ad63867814d44d8f6402014efe.htm?spm=a1z08.6.1000507.2.stV94y
成功得到user-rate-[id]
这样就可以查询到信用评价的数据了。
这里说明下 查询时取消掉 “有评价内容”选项,查看给别人的评价,查询的数据就是你前段时间所有的购买记录了。
查看半年前的数据:
点击 好差评 下面的数字,进入新的链接 查看来自买家的评价就是所有的购买记录信息。
修复方案:
鉴于淘宝帐号体系的复杂性,对于一些逻辑尽量最小放权。
版权声明:转载请注明来源 livers@乌云
漏洞回应
厂商回应:
危害等级:无影响厂商忽略
忽略时间:2014-02-18 09:45
厂商回复:
感谢你对我们的支持与关注,该问题属于正常业务,谢谢!
最新状态:
暂无