客乐官网:

**.**.**.**/

存在这么一个路径可访问订单
 

**.**.**.**/MyAccount/MyOrderDetail.aspx?soSysNo=28385


 

QQ截图20160413210152.png



网站对订单访问未做任何限制和防护,随别列几个订单,
 

QQ截图20160413204832.png


 

QQ截图20160413204928.png


 

QQ截图20160413205005.png



只对soSysNo参数后四位跑一下,就有上万条订单和用户信息了,
 

QQ截图20160413205657.png

QQ截图20160413210152.png


 

QQ截图20160413204832.png


 

QQ截图20160413204928.png


 

QQ截图20160413205005.png


 

QQ截图20160413205657.png