杭州某汽车模拟预约系统敏感信息泄露,导致可修改他人预约信息

漏洞概要

缺陷编号:WooYun-2012-06115

漏洞标题:杭州某汽车模拟预约系统敏感信息泄露,导致可修改他人预约信息

相关厂商:杭州群和汽车驾驶模拟培训服务中心

漏洞作者:波波虎

提交时间:2012-04-16 18:30

公开时间:2012-05-31 18:31

漏洞类型:敏感信息泄露

危害等级:低

自评Rank:3

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2012-04-16: 积极联系厂商并且等待厂商认领中,细节不对外公开
2012-05-31: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

预约系统存在信息泄露,导致可以查询任意人员预约信息,使用该信息可以修改他人预约。另外可以查询身份证和名字对应信息,可用其其他途径~~~~~~,另外数据库存在注入风险

详细说明:

http://www.qc5qc.com/xqc/mlpxyy/mlpxcx_info.php?tid=1315967对应连接的tid可以进行遍历获取用户信息.该链接只要做一次遍历即可另外取消预约连接可以使用身份证号直接进行取消..http://www.qc5qc.com/xqc/mlpxyy/mlpxqx.php另外直接参数传入,可以进行sql Injection,页面错误提示直接有代码信息....

漏洞证明:

修复方案:

敏感信息显示做控制数据库查询做相应修改,页面报错屏蔽掉另外这么多敏感信息,要注意啊!!!!

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

评价