漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-066553
漏洞标题：爱卡汽车某站数据库泄露
相关厂商：爱卡汽车网
漏洞作者： s3xy
提交时间：2014-06-28 20:01
修复时间：2014-08-12 20:02
公开时间：2014-08-12 20:02
漏洞类型：重要敏感信息泄露
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-06-28： 细节已通知厂商并且等待厂商处理中
2014-06-30： 厂商已经确认，细节仅向厂商公开
2014-07-10： 细节向核心白帽子及相关领域专家公开
2014-07-20： 细节向普通白帽子公开
2014-07-30： 细节向实习白帽子公开
2014-08-12： 细节向公众公开
简要描述：
爱卡汽车某站数据库泄露
详细说明：
(在提交漏洞前貌似被管理员发现了，已经删除了备份文件。不过我还是提交上来，当是给管理员提个醒吧。避免以后类似问题。)
问题站在http://sales.xcar.com.cn/
发现readme.txt文件。得到数据库备份文件路径sql/icar_2013-07-02.zip
测试下载，发现管理员未及时删除。
解压后文件大小为966.622M。
因为文件太大，我为了证明测试将源文件分割成50份。
第一份打开如下
漏洞证明：
http://sales.xcar.com.cn/sql/icar_2013-07-02.zip
http://sales.xcar.com.cn/.bash_history 也漏点了
修复方案：
删除备份文件。
禁止下载.bash_history。
版权声明：转载请注明来源 s3xy@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2014-06-30 11:06
厂商回复：
感谢白帽子@s3xy的帮助，是我们安全意识还没做到位，会继续努力，我们抓紧处理。感谢@s3xy 白帽子热心帮助。
最新状态：
暂无