当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2015-0108727
漏洞标题：
媲美网某站漏洞（可导致46万会员信息泄漏）
相关厂商：
媲美网
漏洞作者：
崔超杰
提交时间：
2015-04-18 11:33
修复时间：
2015-06-02 11:34
公开时间：
2015-06-02 11:34
漏洞类型：
重要敏感信息泄露
危害等级：
高
自评Rank：
20
漏洞状态：
未联系到厂商或者厂商积极忽略
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2015-04-18： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-06-02： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

rt

详细说明：

媲美网(www.pimei.com)敏感信息泄露，导致数据库信息泄漏，可root连接数据库，46万会员信息（包括会员名，会员密码，邮箱地址等）告急！也可以导致网站整站数据暴漏！
http://p.pimei.com//.svn/entries 利用svn文件源代码泄漏利用工具可以下载网站源码

1.png


泄漏数据库信息（root权限可以远程连接）：

define('UC_DBHOST', 'localhost');
define('UC_DBUSER', 'pimei');
define('UC_DBPW', 'pimei.com_ADMIN');
define('UC_DBNAME', 'pimei');


2.png


3.png


数据库表：

4.png


用户表（46万会员用户数据）：

5.png


包括管理员信息：

6.png


以上仅为网站漏洞风险检测，请尽快修复漏洞！46万会员会员信息告急，抓紧修复吧！

漏洞证明：

http://p.pimei.com//.svn/entries 利用svn文件源代码泄漏利用工具可以下载网站源码

1.png


泄漏数据库信息（root权限可以远程连接）：

define('UC_DBHOST', 'localhost');
define('UC_DBUSER', 'pimei');
define('UC_DBPW', 'pimei.com_ADMIN');
define('UC_DBNAME', 'pimei');


用户表（46万会员用户数据）：

5.png

修复方案：

删除文件夹，修改数据库帐号密码，关闭3306端口等，以提升网站安全系数！

版权声明：转载请注明来源 崔超杰@乌云

>

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：15 (WooYun评价)