首页 > 安全 > 网络安全 >

APP安全之上车一处无效xss可间接影响18万土豪车主(包括认证的特斯拉/劳斯莱斯/法拉利车主等)

2016-07-11

APP安全之上车一处无效xss可间接影响18万土豪车主(包括认证的特斯拉 劳斯莱斯 法拉利车主等)。

铜车马(北京)信息技术有限公司

下载APP 上车

然后发动态的时候输入xss

APP的ico图标好帅啊

22.jpg

打到cookie:

location : http://ishangche.net/staff/toExamine

toplocation : http://ishangche.net/jsp/common/main.jsp?realName=%E9%AA%86%E9%A3%9E&&userName=luofei#

cookie :

opener :

HTTP_REFERER : http://ishangche.net/staff/toExamine

HTTP_USER_AGENT : Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/50.0.2661.102 Safari/537.36

REMOTE_ADDR : 119.57.68.21, 119.57.68.21

IP_ADDRESS : 北京市--东四IDC机房

北京的。。 没返回cookie,尼玛

仔细观察

userName=luofei#

luofei?

发现他的用户名是姓名,赶快拿出我的姓名top爆破,但是无果

算了,死马当活马医,试试弱口令

luofei/luofei 错误

luofei/123456 人品爆发进去了。。。

1:总用户数

1.jpg

2:加粉

2.jpg

3:统计表

3.jpg

4:触发xss位置

4.jpg

5:视频+照片审核

5.jpg

6:各种行驶证

6.jpg

10.jpg

13.jpg

7:私密照

8.jpg

8:各种审核信息

7.jpg

9.jpg

11.jpg

12.jpg

14.jpg

9:给自己账户加vip

什么都没加之前

15.jpg

得到我上车号:348498

开个会员吧,黑马的。哈哈

16.jpg

17.jpg

10:提现

提现.jpg

11:看妹纸素颜照。666 各种素颜

18.jpg

19.jpg

开奔驰的妹纸哦- -

20.jpg

上车号用户昵称提交时间状态审核时间操作

149753百合通过

21.jpg

另外找到多个管理员爆破

密码abc123

81getonabc123200falsefalse471

86liujiaabc123200falsefalse470

密码 账户

9haoju123haoju123200falsefalse327

23.jpg

liujia的权限和luofei一样大

24.jpg

haoju123禁用了。。

11

解决方案:

22

相关文章
最新文章
热点推荐