网站地图    收藏   

主页 > 后端 > 网站安全 >

ShopNC一处信息泄露可导致任意用户订单泄露 - 网

来源:自学PHP网    时间:2015-04-16 23:15 作者: 阅读:

[导读] ShopNC在前台的用户隐私信息防护做得很好,但忽略了一处api的防护,导致漏洞产生漏洞可直接获取包含用户订单详情的json字符串使用官方商城做演示(http: www shopnctest com c2c 2013 test 用户...

ShopNC在前台的用户隐私信息防护做得很好,但忽略了一处api的防护,导致漏洞产生

漏洞可直接获取包含用户订单详情的json字符串

使用官方商城做演示(http://www.shopnctest.com/c2c/2013/test/ 用户名shopnc 密码shopnc)



url:http://www.shopnctest.com/c2c/2013/test/mobile/28aeb56bf14c9a5f826f8ad65bc6d7f0.php?commend=order_detail&order_id=570

oder_id变量可遍历



正确返回是这样的:


 

这其中也包含了用户地址信息,还有订单信息,比如购买商品及数量,总价等等

PS.那一长串的接口地址,可以从手机客户端中抓包搞到,我估计是默认就是这个,测试了一个商城也是这个地址

修复方案:

面向手机客户端的api也要做鉴权

自学PHP网专注网站建设学习,PHP程序学习,平面设计学习,以及操作系统学习

京ICP备14009008号-1@版权所有www.zixuephp.com

网站声明:本站所有视频,教程都由网友上传,站长收集和分享给大家学习使用,如由牵扯版权问题请联系站长邮箱904561283@qq.com

添加评论