APP安全之掌厨可操控100w用户(管理菜谱可诱导用户把菜抄糊)

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0189049

漏洞标题：APP安全之掌厨可操控100w用户(管理菜谱可诱导用户把菜抄糊)

漏洞作者：小龙

提交时间：2016-03-25 20:57

修复时间：2016-05-09 20:57

公开时间：2016-05-09 20:57

漏洞类型：应用配置错误

危害等级：高

自评Rank：20

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2016-03-25：积极联系厂商并且等待厂商认领中，细节不对外公开
2016-05-09：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

掌厨-营养美食菜谱，家常菜、私房菜、川菜、粤菜等做菜视频大全介绍

详细说明：

APP下载统计
http://www.wandoujia.com/apps/com.gold.palm.kitchen 豌豆荚 44 万
人安装
http://android.myapp.com/myapp/detail.htm?apkName=com.gold.palm.kitchen 应用宝 117万下载
http://apk.hiapk.com/appinfo/com.gold.palm.kitchen 安卓市场 60.1万热度
http://zhushou.360.cn/detail/index/soft_id/485874?recrefer=SE_D_%E6%8E%8C%E5%8E%A8 360助手 76万次

location : http://boss.izhangchu.com/main/index
toplocation : http://boss.izhangchu.com/main/index
cookie : Hm_lvt_947a28199a27691a3e5e3534e62a33b9=1443405214
opener :
username :
password :

马丹，又是cookie过期
我们爆破
得到

liwei密码为123456
1：APP打开启动打开界面图片

2：菜肴管理（http://h5.izhangchu.com）

dishes_id=14907
我们看到这个菜肴id是14907

百度到的。。。
四：煮牛奶时不宜加糖
    不少人习惯在煮牛奶时加一些糖，认为这样煮出来的牛奶又甜又好喝，其实这种做法是错误的。
    因为，在煮牛奶时加糖，牛奶中的赖氨酸与果糖在高温作用下会生成一种有毒物质——果糖赖氨酸。这种物质不但不能被人体消化吸收，而且还会对人体健康造成危害，人喝了这种牛奶后会出现肠胃不适、呕吐、腹泻等症状。儿童经常喝加糖煮出来的牛奶，对智力发育十分不利。