快递柜云端未授权访问后台150万订单包括圆通/申通/顺丰/天天等(可重设任意快递员密码与远程开柜影响)

漏洞概要

缺陷编号:WooYun-2015-0130366

漏洞标题:快递柜云端未授权访问后台150万订单包括圆通/申通/顺丰/天天等(可重设任意快递员密码与远程开柜影响)

相关厂商:云镖局

漏洞作者:奥特曼

提交时间:2015-07-30 09:04

公开时间:2015-09-13 09:06

漏洞类型:未授权访问/权限绕过

危害等级:高

自评Rank:20

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2015-07-30: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-09-13: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

快递柜云端未授权访问后台150万订单包括(圆通,申通,顺丰,天天,等等)可重设任意快递员密码 远程开柜 +SQL注入漏洞

详细说明:

谷歌查了下几个连接

都是直达后台的 部分模块还不能访问, 不过存在SQL注入。自然可以拿管理权限了。直接上图。 注入就不跑了。以测试到,忘记参数了。 总之修复未授权就修复SQL注入了

漏洞证明:

看的到每天就有多少订单了= =。继续往下看

亲,奖励有没有。

修复方案:

修复对外访问连接

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)

评价

  1. 2010-01-01 00:00 prolog 白帽子 | Rank:518 漏洞数:59)

    远程开柜。。
    监控视频能操纵?

  2. 2010-01-01 00:00 奥特曼 白帽子 | Rank:205 漏洞数:18)

    @prolog 可以开,没有视频。有报警监控

  3. 2010-01-01 00:00 looyun 白帽子 | Rank:15 漏洞数:1)

    来自云端的物流信息安全专家居然不修复。。