对于途家网的渗透测试(大量客户订单/数万商户信息/30+个后台/内网漫游)

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0132884

漏洞标题：对于途家网的渗透测试(大量客户订单/数万商户信息/30+个后台/内网漫游)

漏洞作者： hecate

提交时间：2015-08-09 17:42

修复时间：2015-09-27 17:50

公开时间：2015-09-27 17:50

漏洞类型：账户体系控制不严

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-09：细节已通知厂商并且等待厂商处理中
2015-08-13：厂商已经确认，细节仅向厂商公开
2015-08-23：细节向核心白帽子及相关领域专家公开
2015-09-02：细节向普通白帽子公开
2015-09-12：细节向实习白帽子公开
2015-09-27：细节向公众公开

简要描述：

途家网(Tujia.com)在新一轮融资中筹得3亿美元，这家中国度假公寓租赁网站的估值由此超过10亿美元。中国版Airbnb欲雄霸天下……

详细说明：

安全是一个长期的过程，大公司常年不登乌云，必定存在众多安全问题.
1.针对tujia.com的子域名进行fuzzing，发现其中一个地址存在SQL注入
https://ssl.tujia.com//WebPages/applyhardware.php?action=applyhardware&hard_user=%255C&hard_pass=%0a%0dand%0a%0d1=(updatexml(1,concat(0x5e24,(select%0a%0dconcat(adminname,0x7e,passwd)%0a%0dfrom%0a%0dAdmin%0a%0dlimit%0a%0d1),0x5e24),1))%2523

无奈登录不上，无法通过域验证，但是可以借此收集到邮箱用户名如图

2.找到邮箱登录入口https://mail.tujia.com/，用收集到的邮箱账号和弱口令字典进行fuzzing，过程中无验证码，无错误次数限制，最终成功只有一个
账号[email protected]
密码tujia@123

3.进入邮箱后收集所有联系人的账号，再一次进行fuzzing，得到以下几位高管的邮箱密码
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
密码均是 Www.tujia.com 第一个W是大写
4.登录高管邮箱，搜寻各种后台账号密码
http://vrms.tujia.com/
用户名栾艳，密码同上