良品铺子短信接口账号密码泄露导致可查看所有用户验证码短信及手机号+修改所有注册用户密码+随意发短信

前段时间发现良品铺子注册成厂商了，可惜自己提交漏洞那会儿还不是，所以就统统忽略了。。。。不过最后还是通过你们的微信客服告诉你们的运维人员，修改了你们旧版官网的后台管理密码，所以随着你们旧版官网一起离去的还有其他用户及弱口令。。。。不过这个短信接口的用户密码帮助我当时拿到了这个企业服务平台的shell，这个shell至今还静静的躺在那里。。。。

不要问我是怎么得到你们的企业短信服务品台的API接口、企业号、用户名及密码的，因为你们官网换了。。。。说说危害：1、可查看所有发给注册用户的短信，以及注册用户的手机号码2、利用1提到的信息，及时没有注册用户的手机号码，一样秒改所有注册用户的密码~3、发短信骚扰别人下面上图吧

最后一张图，找回密码需要用户名或者手机号，虽然不知道用户名，但是输入手机号之后，在第2步就把对应的用户显示出来了，示例中的手机号及用户应该是你们单位的工作人员，就不找回密码了，应该能说明问题了。

修改密码吧~虽然没什么卵用，最后通知平台厂商把平台的安全搞一搞，不然你们这些企业用着怎么放心呢

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2015-07-2416:11

厂商回复：

情况属实。。。

最新状态：

2015-07-25：已修复

1. 2010-01-01 00:00 我不是冰冰 白帽子 | Rank:31 漏洞数:4)

   良品铺子又出问题了呢

2. 2010-01-01 00:00 菜鸟甲 白帽子 | Rank:5 漏洞数:1)

   我擦，你这是有仇么和他

3. 2010-01-01 00:00 cuger 白帽子 | Rank:133 漏洞数:14)

   @菜鸟甲 我说你怎么这么会挑拨离间呢？这是很早以前就发现的，之前提的都忽略了，这个就懒得提丢那儿了，最近翻出来了

4. 2010-01-01 00:00 Mack小胖 白帽子 | Rank:7 漏洞数:1)

   围观下，围观下