驴妈妈某处越权导致订单信息泄露（涉及700多万订单信息）

驴妈妈旅游网-中国新型的B2C旅游电子商务网站，为旅游者提供景区门票、自由行、度假酒店、国内游、出境游等一站式旅游服务。

手机+姓名+金额+订单号+日期。

漏洞存在 http://fx.lvmama.com/ 分销平台。

看见有注册的地方，本来想注册的，然后：

然后发现要审核。欲哭无泪啊。等吗？肯定不行，等7天啊。谁受得了啊。

于是乎，咋们就想着能不能破解出来一个呢？

幸不辱命啊：

然后 yangfan yangfan123 登录，进去点个查看订单。悲剧就发生了。

首先看下他自己的订单：

都是什么 鼋头渚。

然后看看别人的订单：

http://fx.lvmama.com/mOrder/ticketDetail.do?orderId=27880000

然后继续看别人的：

http://fx.lvmama.com/mOrder/ticketDetail.do?orderId=27887310

再来一个：

http://fx.lvmama.com/mOrder/ticketDetail.do?orderId=27261000

http://fx.lvmama.com/mOrder/ticketDetail.do?orderId=20900000

20900000-27261000 一共700W订单数据。。赶紧修复啊。听说泄露客户信息，现在法律都要管啦。

验证权限，只能查看自己的订单。

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2016-03-26 08:27

厂商回复：

thx

最新状态：

暂无

1. 2016-03-24 21:35 | 奶嘴 ( 普通白帽子 | Rank:414 漏洞数:110 | 17岁的毛孩 有些厂商故意加你好友，和你聊...)

   1

   nihaoya

   1# 回复此人

2. 2016-03-24 21:49 | depycode ( 普通白帽子 | Rank:299 漏洞数:53 | 关注网络安全，提高技术！)

   1

   阿神出山，威震天下！

   2# 回复此人

3. 2016-03-24 22:05 | 风之传说 ( 普通白帽子 | Rank:217 漏洞数:39 | 时间在哪里，成就就在哪里.)

   1

   @depycode 东东

   3# 回复此人

4. 2016-03-24 22:08 | 奶嘴 ( 普通白帽子 | Rank:414 漏洞数:110 | 17岁的毛孩 有些厂商故意加你好友，和你聊...)

   1

   @风之传说 @me !

   4# 回复此人