当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2013-017440
漏洞标题：
1号店某管理功能暴露，内网主机敏感信息遍历以及其他相关操作！
相关厂商：
1号店
漏洞作者：
有礼物送上
提交时间：
2013-01-17 17:12
修复时间：
2013-03-03 17:13
公开时间：
2013-03-03 17:13
漏洞类型：
未授权访问/权限绕过
危害等级：
中
自评Rank：
5
漏洞状态：
厂商已经确认
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2013-01-17： 细节已通知厂商并且等待厂商处理中
2013-01-17： 厂商已经确认，细节仅向厂商公开
2013-01-27： 细节向核心白帽子及相关领域专家公开
2013-02-06： 细节向普通白帽子公开
2013-02-16： 细节向实习白帽子公开
2013-03-03： 细节向公众公开

简要描述：

RT!

详细说明：

应该是个缓存管理工具：
http://busystock.i.1mall.com/admin/admin.jsp


1.png


漏洞证明：

通过每次刷新页面，获取相关内网主机的信息，剔除重复的就可能遍历所有主机：


主机名、ip信息等：


11.png


物理内存和JVM以及其他参数等：


12.png


以及其他操作，不熟悉，怕搞坏了：


2.png


因为你们更换域名的关系，所以还有另一个，不是同一个应用，但管理的主机可以是同一群：
http://busystock.i.yihaodian.com/admin/admin.jsp


3.png


修复方案：

适当调整一下！

版权声明：转载请注明来源 有礼物送上@乌云

>

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：6

确认时间：2013-01-17 17:17

厂商回复：

感谢有礼物送上，马上联系相关部门

最新状态：

暂无