当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0120618

漏洞标题:微信公众号运营平台泄漏敏感信息

相关厂商:上海贤房信息技术有限公司

漏洞作者: libmaru

提交时间:2015-06-15 15:33

修复时间:2015-07-30 15:34

公开时间:2015-07-30 15:34

漏洞类型:未授权访问/权限绕过

危害等级:中

自评Rank:7

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-06-15: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-07-30: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

泄漏appid和appsecret等信息

详细说明:

全家微信公众号:全家微生活
http://familymart.kembo88.com/
http://wechat.kembo88.com/
电脑上打开你们的网站根目录,一闪而过显示出登录框,要不要这么屌。拦截
http://familymart.kembo88.com/api/v1/admin_is_login 和
http://wechat.kembo88.com/api/admin_is_login 就可以避免跳出登录框
首页截图

02.png


03.png


管理员用户名

01.png


看一看 javascript,还发现了一个 api 直接给出了 AppID 和 AppSecret
http://wechat.kembo88.com/api/configs

{
"code":200,
"message":"success",
"data":{
"id_production":1,
"appid_production":"wx636668dc4cc11c5f",
"appsecret_production":"1dc42811650762704879124c40c2d126"
}
}


漏洞证明:

04.png


听说你们有10w用户

06.png


05.png


发消息好麻烦,不试了

修复方案:

就算是 Ruby 也不能阻止二逼码农,让他下岗吧

版权声明:转载请注明来源 libmaru@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝