APP安全之小马达达某后台泄露大量用户信息(手机号码/车牌/驾驶证照片等信息)

  • 内容
  • 相关

漏洞详情

披露状态:

 

2016-04-25: 细节已通知厂商并且等待厂商处理中
2016-04-26: 厂商已经确认,细节仅向厂商公开
2016-05-06: 细节向核心白帽子及相关领域专家公开
2016-05-16: 细节向普通白帽子公开
2016-05-26: 细节向实习白帽子公开
2016-06-10: 细节向公众公开

简要描述:

【一键洗车】首单洗车1分钱不要,洗车不用愁![1]
【车险直销】在线预约购买挑战价格底线,车险省心购!
【优惠加油】98折加油,浙商卡充值最高还返100元!
【违章查询】支持全国三百多个城市查询,对爱车了如指掌!
【爱车估值】免费专业在线估值,买卖二手车更安心!
【专业救援】最专业的救援团队24小时随时待命,让您出行无忧!
【年检协办】用13年的线下服务经验提供最贴心的协办服务!
【缤纷优惠】一分钱洗车券、道路救援券、年检协办券,应有尽有!
【好礼大放送】车辆认证成功,即享千元大礼包![1]

详细说明:

在 小马达达 APP反馈建议插入xss



然后等cookie



1.jpg





40万客户收款



40万客户收款.jpg





大量商铺

2600商铺.jpg





提现总金额XX万

提现总金额60万.jpg







信用卡申请



信用卡申请.jpg





发现权限不高



我找了我的信息来做案例,如何来确认是28万用户



用户信息1.jpg





用户信息2.jpg





用户信息3.jpg





用户信息(3).jpg





用户信息4.jpg





用户信息5.jpg



漏洞证明:

11

修复方案:

11

版权声明:转载请注明来源 小龙@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2016-04-26 17:23

厂商回复:

感谢白帽的关注,漏洞源自最早的1分钱洗车平台,已经修复。

最新状态:

暂无


本文标签:

版权声明:若无特殊注明,本文皆为《安三》原创,转载请保留文章出处。『鹦鹉搜索』

百度收录:百度已收录『查看详情』

本文链接:APP安全之小马达达某后台泄露大量用户信息(手机号码/车牌/驾驶证照片等信息) - https://www.15qq.cn/wooyun/993.html

发表评论

电子邮件地址不会被公开。 必填项已用*标注

允许邮件通知