河北电信WAP商城任意用户登录导致个人信息泄露

漏洞概要

缺陷编号:WooYun-2015-0125584

漏洞标题:河北电信WAP商城任意用户登录导致个人信息泄露

相关厂商:河北电信

漏洞作者:泰迪

提交时间:2015-07-11 11:46

公开时间:2015-08-27 08:28

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2015-07-11: 细节已通知厂商并且等待厂商处理中
2015-07-13: 厂商已经确认,细节仅向厂商公开
2015-07-23: 细节向核心白帽子及相关领域专家公开
2015-08-02: 细节向普通白帽子公开
2015-08-12: 细节向实习白帽子公开
2015-08-27: 细节向公众公开

简要描述:

河北电信wap商城网站由于设计缺陷导致可以登录任意用户,泄露个人信息

详细说明:

攻击者访问登陆页面,http://**.**.**.**/wap_heb/login.jsp输入受害者手机号,选择随机码登陆

攻击者截取post包,修改成攻击者的手机号,经测试,可以修改成其他省市的其他运营商的手机号,可能还能短信轰炸,没有测试

然后将收到的随机码输入,再输入正确的验证码,即可成功登陆。

漏洞证明:

拿同学的手机号测试了一下,证明如下查看个人信息

其他部分操作

总之就是成功用受害者身份登陆商城系统问了下同学有没有短信提醒登陆,也没有提醒

修复方案:

看了看其他省电信wap商城的设计,大概有两个办法:1继续使用随机码,加强验证2 不再使用随机码登陆方式

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2015-07-13 08:26

厂商回复:

CNVD确认并复现所述情况,已经转由CNCERT向中国电信集团公司通报,由其后续协调网站管理单位处置.

最新状态:

暂无

评价

  1. 2010-01-01 00:00 BMa 白帽子 | Rank:1666 漏洞数:121)

    @泰迪 这里实际上就是只验证短信验证码的有效性?而没验证该短信验证码是否与该号码匹配

  2. 2010-01-01 00:00 泰迪 白帽子 | Rank:10 漏洞数:1)

    @BMa 额。。不知道是不是这样啊 它做的应该只是短信验证码与初始号码匹配 但是后台程序只是实现了对PHONENO参数值发送短息的功能,并没有做验证是否被篡改,导致最后登录的是原来手机号的账户 ;如果它做了验证,将PHONENO参数值与验证码绑定,那么就会登录到收到验证码的手机号的账户。(大神关注~~害羞~掩面逃走)