同程旅游网移动端某接口泄漏(可查询订单/机票/酒店/电影等部分信息)

编号137596
Urlhttp://www.wooyun.org/bug.php?action=view&id=137596
漏洞状态厂商已经修复
漏洞标题同程旅游网移动端某接口泄漏(可查询订单/机票/酒店/电影等部分信息)
漏洞类型未授权访问/权限绕过
厂商苏州同程旅游网络科技有限公司
白帽子1937nick
提交日期2015-08-28 22:20:00
公开日期2015-08-28 23:16:00
修复时间2015-08-28 23:16:00
确认时间2015-08-28 00:00:00
Confirm Spend0
漏洞标签敏感接口缺乏认证 未授权访问
关注数0
收藏数0
白帽评级
白帽自评rank18
厂商评级
厂商评rank3
漏洞简介
高rank 送京东礼品卡 小激动
漏洞细节

在某处看到同程移动端求测的状态我就来了,高rank 送京东礼品卡

1.png


类似一样的漏洞 以前在某处提交过 厂商说此问题之前有发现,评级低!
怎么现在有出现这种问题了呢? 羞羞的
UARL: http://tcmobileapi.17usoft.com/memberextend/
1.机票接口地址:http://tcmobileapi.17usoft.com/flight/orderhandler.ashx
JSON

{
"request" : {
"header" : {
"digitalSign" : "fb4d5cf83d3170ef8f71efde0610212b",
"encryptEffort" : "0",
"reqTime" : "1440739092391",
"serviceName" : "GetFlightOrderdetail",
"version" : "20110303090115",
"accoun<code>

tID" : "5ee7b429-b8c6-400f-8b87-3c384c4ea68a"
},
"body" : {
"orderId" : "137733308",
"endorseSubType" : "11",
"requestType" : "1",
"clientInfo" : {
"refId" : "5866741",
"mac" : "10685e02588a205a100baa911e483423",
"clientIp" : "192.168.1.103",
"networkType" : "wifi",
"extend" : "2^com.tongcheng.iphone,4^8.4,5^iPhone5_2",
"versionType" : "iPhone",
"deviceId" : "4eaf3c51d6b4846d8599c297d9eb94347b64d4f8",
"versionNumber" : "7.5.0"
},
"endorseType" : "1",
"memberId" : "I0_d697650ed0d55a266b81ef6c18fdad5d"
}
}</code>

2.png


JSON输入后点击 提交(>=750) 查询
2.酒店接口地址:http://tcmobileapi.17usoft.com/hotel/orderhandler.ashx
JSON

{
"request" : {
"header" : {
"digitalSign" : "af71d13095e27e443799367b18d892d5",
"encryptEffort" : "0",
"reqTime" : "1440739317648",
"serviceName" : "GetHotelOrderDetail",
"version" : "20110303090115",
"accountID" : "5ee7b429-b8c6-400f-8b87-3c384c4ea68a"
},
"body" : {
"orderSerialId" : "hh55bddu67210024u610",
"clientInfo" : {
"refId" : "5866741",
"mac" : "10685e02588a205a100baa911e483423",
"clientIp" : "192.168.1.103",
"networkType" : "wifi",
"extend" : "2^com.tongcheng.iphone,4^8.4,5^iPhone5_2",
"versionType" : "iPhone",
"deviceId" : "4eaf3c51d6b4846d8599c297d9eb94347b64d4f8",
"versionNumber" : "7.5.0"
},
"UserHKDollor" : "1",
"memberId" : "I0_d697650ed0d55a266b81ef6c18fdad5d"
}
}
}


3.png


3.电影接口地址:http://tcmobileapi.17usoft.com/Movie/OrderHandler.ashx
JSON

{
"request" : {
"header" : {
"digitalSign" : "89e5950cdfa9c0c90d0bf7663c828a4f",
"encryptEffort" : "0",
"reqTime" : "1440739633471",
"serviceName" : "getmovieorderdetailbyorderid",
"version" : "20110303090115",
"accountID" : "5ee7b429-b8c6-400f-8b87-3c384c4ea68a"
},
"body" : {
"orderId" : "150802171133955585",
"clientInfo" : {
"refId" : "5866741",
"mac" : "10685e02588a205a100baa911e483423",
"clientIp" : "192.168.1.103",
"networkType" : "wifi",
"extend" : "2^com.tongcheng.iphone,4^8.4,5^iPhone5_2",
"versionType" : "iPhone",
"deviceId" : "4eaf3c51d6b4846d8599c297d9eb94347b64d4f8",
"versionNumber" : "7.5.0"
}
}
}
}


4.png


4.旅游接口地址:http://tcmobileapi.17usoft.com/scenery/orderhandler.ashx
JSON

{
"request" : {
"header" : {
"digitalSign" : "9c958026282006e90247f5e70d7cd724",
"encryptEffort" : "0",
"reqTime" : "1440739829836",
"serviceName" : "GetOrderDetail",
"version" : "20110303090115",
"accountID" : "5ee7b429-b8c6-400f-8b87-3c384c4ea68a"
},
"body" : {
"ruleType" : "3",
"orderSerialId" : "sz55b003d421002bc765",
"clientInfo" : {
"refId" : "5866741",
"mac" : "10685e02588a205a100baa911e483423",
"clientIp" : "192.168.1.103",
"networkType" : "wifi",
"extend" : "2^com.tongcheng.iphone,4^8.4,5^iPhone5_2",
"versionType" : "iPhone",
"deviceId" : "4eaf3c51d6b4846d8599c297d9eb94347b64d4f8",
"versionNumber" : "7.5.0"
},
"memberId" : "I0_d697650ed0d55a266b81ef6c18fdad5d"
}
}
}


5.png


5汽车票接口地址:http://tcmobileapi.17usoft.com/bus/OrderHandler.ashx
JSON

{
"request" : {
"header" : {
"digitalSign" : "989bb6b18877ad2d5b2e5835da6a8e60",
"encryptEffort" : "0",
"reqTime" : "1440740539249",
"serviceName" : "getbusorderdetail",
"version" : "20110303090115",
"accountID" : "5ee7b429-b8c6-400f-8b87-3c384c4ea68a"
},
"body" : {
"orderId" : "412271",
"clientInfo" : {
"refId" : "5866741",
"mac" : "10685e02588a205a100baa911e483423",
"clientIp" : "192.168.1.103",
"networkType" : "wifi",
"extend" : "2^com.tongcheng.iphone,4^8.4,5^iPhone5_2",
"versionType" : "iPhone",
"deviceId" : "4eaf3c51d6b4846d8599c297d9eb94347b64d4f8",
"versionNumber" : "7.5.0"
}
}
}
}


6.png


还有其他接口我就不测试了 你比我还懂的

POC

羞羞的

修复方案

..........

状态信息 2015-08-28: 细节已通知厂商并且等待厂商处理中
2015-08-28: 厂商已经确认,细节仅向厂商公开
2015-08-28: 厂商已经修复漏洞并主动公开,细节向公众公开
厂商回复感谢关注同程旅游,第一个接口测试页面没什么影响,只是为了方便调试接口,不过还是限制下。洞主后面列的这些本来就是APP中间层的接口啊,要不然客户端信息从哪儿查。接口都是验证签名的,不花时间逆向客户端也无法伪造请求签名,洞主也没有提到越权查看其他人的信息的问题,我没看懂危害在哪里?
回应信息危害等级:低漏洞Rank:3 确认时间:2015-08-28 23:11
Showing 1-24 of 24 items.
评论内容评论人点赞数评论时间

@苏州同程旅游网络科技有限公司 礼品卡收到了,感谢

1937nick02015-09-21 10:44:00

好热闹

稀饭粥02015-09-02 21:21:00

...

大物期末不能挂02015-09-01 20:25:00

...

路人毛02015-08-31 14:34:00

...

机器猫02015-08-31 02:19:00

@1937nick 感谢您的好意,谢谢!

刘洪泽02015-08-30 11:50:00

@1937nick 感谢您的好意,谢谢!

疯子02015-08-29 21:42:00

@疯子 标题疯狗有改过 就是我拿到数据又能干嘛? 能发横财? 逗....

1937nick02015-08-29 21:34:00

@1937nick 请不要夸大其词,你真正能拿到数据你是不会这样提交的,而你的标题其实蛮唬人的,你的好心应该是帮助厂商解决问题,而不是夸大其词的来增加麻烦,另外非常感谢您提交这种影响不大的问题!

疯子02015-08-29 21:16:00

@1937nick 我没这个意思,我只是觉得这个标题容易引发误导。您说的替换签名和订单号就能查到其他订单我也没能复现,看了下因为还有时间戳reqTime等做校验,因为页面运维已经删了这会儿没办法用那个页面查询,周一我会再尝试复现一下。

苏州同程旅游网络科技有限公司02015-08-29 20:56:00

@苏州同程旅游网络科技有限公司 你的意思就是我提交虚假漏洞了 那为什么不忽略呢?

1937nick02015-08-29 19:39:00

@红客十年 只能说标题比较容易引起误解,就是一个测试调试页,搞的好像信息随便查一样...

苏州同程旅游网络科技有限公司02015-08-29 19:32:00

@苏州同程旅游网络科技有限公司 顿时菊花一紧…我可是经常在同程上顶机票的……

红客十年02015-08-29 18:28:00

好热闹

qhwlpg02015-08-29 09:03:00

@苏州同程旅游网络科技有限公司

正义的伙伴02015-08-29 08:19:00

@ 苏州同程旅游网络科技有限公司 我的礼物发了啊!亲╭(╯3╰)╮

正义的伙伴02015-08-29 08:18:00

居然截我的图。。。

高小厨02015-08-29 08:00:00

@0xev4l 拜托没看清楚不要轻易下结论好吗。中间层认签名的,修改了数据之后签名不对,接口直接返回错误。即便出现接口没验证好的情况,也只会是鸡肋的越权,无法规模化利用的。

苏州同程旅游网络科技有限公司02015-08-29 02:17:00

厂商竟然不懂危害是什么。。。你们的数据都是轻松采集下来还不算危害么?竞争对手都能知道你们订单量以及状态等轻松算出你们的业绩

0xev4l02015-08-29 00:36:00

@1937nick 加我微信吧 ihacku 真有问题 礼品卡double 补偿rank

苏州同程旅游网络科技有限公司02015-08-28 23:41:00

其实把A的签名和订单号 替换照样还是可查询到B的订单的

1937nick02015-08-28 23:34:00

抱歉,给不了高rank和礼品卡

YY-201202015-08-28 23:27:00

@牛 小 帅 我小菜是来乌云学习的

1937nick02015-08-28 23:03:00

66666 洞主专业xss啊

牛 小 帅02015-08-28 23:01:00