点到按摩无限制登录任意账号

漏洞概要

缺陷编号:WooYun-2015-0125780

漏洞标题:点到按摩无限制登录任意账号

相关厂商:点到按摩

漏洞作者:ggyang

提交时间:2015-07-10 14:37

公开时间:2015-08-24 14:38

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2015-07-10: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-08-24: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

点到按摩绕过登录限制,用任意手机号都可登录,如果该手机号使用过点到按摩,可以在订单列表中获取用户的住址

详细说明:

关注点到微信公众号点击我的订单,跳转到登录页面,先用自己的手机获取验证码,填写完验证码,将手机号改成要登录的目标手机号,即可直接登录

漏洞证明:

第一步先用自己的手机号码获取验证码

第二步把手机号码换成目标手机号

可成功登陆

修复方案:

登陆是验证手机号码和验证码是否匹配

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)

评价

  1. 2010-01-01 00:00 有归于无 白帽子 | Rank:49 漏洞数:5)

    这个有意思

  2. 2010-01-01 00:00 ponychen 白帽子 | Rank:15 漏洞数:1)

    奇葩