食品安全到信息安全之饿了么一根烟头引发的血案(至少涉及9946名内部员工密码和个人信息等)
事情经过：
在饿了么某商家订餐吃到一半吃到烟头，顿时心塞!让后电话找商家理论，说加微信。加微信好久才通过请求，然后也代答不理的拖了几个小时，最后投诉到饿了么官方，最后才做了退款和反红包处理，同时该商家承诺第二天在他家订餐全天免单，然后这是屁话，谁还会在你家吃!如果吃出问题又该找谁!!
看上去得到解决，其实然并卵。
“食品安全”是OTO重心吖。一赌气，看看eleme的“信息安全”情况
漏洞证明：
倒序输出，先说重点漏洞：
1.费控系统SQL注入致9946个员工信息泄露，包含密码，成功登陆admin账户。
以下是代码片段：
*****nghong***** |
这种账号太多，这个是低权限，就想弄个高权限的，本来想找上传点传shell，jsp文件是传上去了，但是没有回显路径，心痛。但是返回一个链接
http://aone.rajax.me:7002/atm_download.svc?attachment_id=36215
居然是注入点，开心，头天晚上SQLMAP没跑出来，后台发现是版本低，升级下成功出数据
近1W员工的账号密码、个人信息等等，admin的密码成解密
只取了前几个做证明
以下是代码片段：
*****号***** |
功能超级强大、涉及都是财务方面的，不多显示了
危害：其他内部系统很多账号密码都是通用的
2.itsm系统登陆，随便一个账号
http://itsm.rajax.me/ITSM_FE/html/login.html
3.crm.rajax.me系统mongodb未授权
mongodb://crm.rajax.me:27017
4.上千新邮箱没改密码，且该邮箱系统还赶不上腾讯呢，随便爆破
以下是代码片段：
1.://**.**.**//mail.rajax.me_ |
以下是代码片段：
*****o.ch***** ...... |
5.大量旧邮箱弱密码，也不知道eleme到底要护哪边，涉及内部各种内部运营信息，和系统入口、密码等等，太多不爱翻了
以下是代码片段：
*****e —— ***** |
其实还可以继续.....算了
修复方案：
加强食品安全监管!加强信息安全力度!
官方 