当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0138812

漏洞标题:开眼数据某核心后台权限控制不足导致任意人员可操作后台

相关厂商:kkeye.com

漏洞作者: Ourgame简单

提交时间:2015-09-06 12:08

修复时间:2015-10-21 13:34

公开时间:2015-10-21 13:34

漏洞类型:未授权访问/权限绕过

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-09-06: 细节已通知厂商并且等待厂商处理中
2015-09-06: 厂商已经确认,细节仅向厂商公开
2015-09-16: 细节向核心白帽子及相关领域专家公开
2015-09-26: 细节向普通白帽子公开
2015-10-06: 细节向实习白帽子公开
2015-10-21: 细节向公众公开

简要描述:

还是那个问题,都做了控制权限了。但是依然权限控制不足啊。
有漏网之鱼。。。

详细说明:

http://www.kkeye.com/crm2/
http://crm.kkeye.com/
貌似是同一个网站.
努力的扫啊扫啊。
居然出来了部分目录。
http://www.kkeye.com/crm2/SalarySettle/Refund.aspx (部分扣款泄露)
http://www.kkeye.com/crm2/Upload/OrderAttachment/201307/138804_20130730101718437.txt
http://www.kkeye.com/crm2/Upload/OrderAttachment/201307/191934_20130730093523078.txt
部分机器账号密码
http://www.kkeye.com/crm2/PackageManage/PackageMng.aspx#
一看就是类似蜜罐一样。
可以看到 全公司的所有大客户。毕竟是全国范围的代理都有。
里面的大礼包都是代表RMB啊?
我如果是客户,多么想要来点各种免费的大礼包啊~~~
目测看到最新的数据是:
23242 上海唐颂展览展示有限公司 5000.00 2015-09-02 至 2015-09-03 2015-09-02 张松涛 全国 正常
任意给任意公司添加内容,对于大公司来说是不是损失?

1.png


图片内容中泄露了该公司员工姓名及所属部门。

2.png


这么核心的内容,影响到的都是RMB。
话说,李总是不是能申请一部分资金给白帽子呢?
里面的内容都是几万几万的。大客户居然有上百万的。
真赚钱啊。

3.png

漏洞证明:

1.png


2.png


3.png

修复方案:

做好权限控制。访问控制

版权声明:转载请注明来源 Ourgame简单@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2015-09-06 13:33

厂商回复:

感谢又帮忙发现一个高危漏洞

最新状态:

暂无