(新) 淘宝网成交记录用户ID泄露漏洞(附上扫号程序)

编号15627
Urlhttp://www.wooyun.org/bug.php?action=view&id=15627
漏洞状态厂商已经确认
漏洞标题(新) 淘宝网成交记录用户ID泄露漏洞(附上扫号程序)
漏洞类型设计缺陷/逻辑错误
厂商淘宝网
白帽子路人
提交日期2012-12-04 22:15:00
公开日期2013-01-18 22:16:00
修复时间(not set)
确认时间2012-12-05 00:00:00
Confirm Spend1
漏洞标签(新) 淘宝网成交记录用户ID泄露漏洞(附上扫号程序)
关注数0
收藏数0
白帽评级
白帽自评rank20
厂商评级
厂商评rank3
漏洞简介
新的查淘宝网成交记录用户ID方法
之前的WooYun-2012-14004可能封了
这是新的方法
钓鱼的人拿到这个漏洞那就天下大乱了
如
找到0心的帐号(第一次用淘宝的人)
知道你旺旺ID后加你ID说你订单有问题
叫你从拍这时发假淘宝网址过去让你拍付款
或说你银行帐号被锁定需要付1元解锁等等的
或套你家住址(快递货运诈骗)等等的
危害相当大
漏洞细节

登入帐号密码
https://login.taobao.com/member/login.jhtml
查看代码找到
ta.setAttribute("exparams","category=&userid=???????&channel=112&");
http://tbskip.taobao.com/json/show_buyer_list.htm?is_offline=&page_size=15&is_start=false&item_type=b&ends=1352176000000&starts=1351571000000&item_id=19417712520&&user_tag=38866976&old_quantity=56564&sold_total_num=null&closed=false&seller_num_id=(替换你帐号的userid=后的数字)&zhichong=true&taohua=&sbn=&bidPage=1
游览 马上会发现全部有匿名没匿名的ID都会出来
程序下载地址
http://pan.baidu.com/share/link?shareid=134784&uk=3173747426

POC

Noname1.jpg


程序下载地址
http://pan.baidu.com/share/link?shareid=134784&uk=3173747426

修复方案

状态信息 2012-12-04: 细节已通知厂商并且等待厂商处理中
2012-12-05: 厂商已经确认,细节仅向厂商公开
2012-12-15: 细节向核心白帽子及相关领域专家公开
2012-12-25: 细节向普通白帽子公开
2013-01-04: 细节向实习白帽子公开
2013-01-18: 细节向公众公开
厂商回复感谢您对我们的关注,此问题我们已经发现并正在处理
回应信息危害等级:低漏洞Rank:3 确认时间:2012-12-05 14:41
Showing 1-7 of 7 items.
评论内容评论人点赞数评论时间

程序看着挺好

possible02013-01-19 08:58:00

= =又有一大批黑阔被断了财路啊……匿名用户查询很久以前就流传了,只不过淘宝一直不肯承认- - 我还用过的。

专注XSS三十年02013-01-19 01:33:00

rank 3 .....

Royal.02013-01-19 00:08:00

高端的路人~

rivers02012-12-27 16:50:00

这个居然被人放出来了

linxinsnow[N.N.U]02012-12-05 14:33:00

路人来了强势围观!!

ghy45902012-12-05 13:22:00

神奇的路人甲!!!

promise02012-12-05 12:51:00