漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0120206
漏洞标题：p2p之瑞钱宝官网getshell/危及所有用户数据/资料/资金
相关厂商：rqbao.com
漏洞作者： BMa
提交时间：2015-06-25 09:30
修复时间：2015-06-30 09:32
公开时间：2015-06-30 09:32
漏洞类型：成功的入侵事件
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-25： 细节已通知厂商并且等待厂商处理中
2015-06-30： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
p2p之瑞钱宝官网getshell/危及所有用户数据/资料/资金
p2p的官网与银行的官网不同，p2p的所有业务都是放在官网上的，所以危害可以预见
不说哪个厂商的名字了，免得xxx
我胆子小，so...
详细说明：
站点：http://www.rqbao.com 瑞钱宝
用户登录后传证件缺陷，被绕过
jsp一句话
连上菜刀
这里存放的是不同用户的身份证信息，其他的就不尝试深入了
漏洞证明：
剩下依然可以深入，即使存在某些机制
但是咱们是社会主义好青年....
修复方案：
版权声明：转载请注明来源 BMa@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-06-30 09:32
厂商回复：
漏洞Rank：15 (WooYun评价)
最新状态：
2015-08-19：已修补。
2015-09-10：谢谢伟大的白帽大哥提醒，前期因为没有相关人员管理，确实疏忽了乌云提示的漏洞，望大家多多给瑞钱包找找bug，谢谢大家