阿里巴巴某系统设计缺陷可造成淘宝无限制撞库

漏洞概要

缺陷编号:WooYun-2014-054111

漏洞标题:阿里巴巴某系统设计缺陷可造成淘宝无限制撞库

相关厂商:淘宝网

漏洞作者:bing

提交时间:2014-03-20 17:26

公开时间:2014-05-04 17:27

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2014-03-20: 细节已通知厂商并且等待厂商处理中
2014-03-24: 厂商已经确认,细节仅向厂商公开
2014-04-03: 细节向核心白帽子及相关领域专家公开
2014-04-13: 细节向普通白帽子公开
2014-04-23: 细节向实习白帽子公开
2014-05-04: 细节向公众公开

简要描述:

描述引用猪猪侠,“大公司常有的诟病,随处可见的安全隐患,任意一个小问题都能引发企业安全的崩盘。”淘宝!我这个能在500万奖励计划里吗?

详细说明:

当数据库、自动化攻击工具和最重要的无任何安全控制的接口融合在一起的时候,就发生了本次安全事件。现阶段的安全测试更多的还是倾向于pc端的web安全,本次测试中无意中发现阿里巴巴移动端与web端相比存在多处安全问题。问题描述http://yunpan.alibaba-inc.com/当我通过搜索引擎获得该URL的时候,随便翻了翻没发现什么问题于是便修改useragent

于是刷新页面便切换到手机端UI

通过多次测试发现,该登录接口无登录次数、验证码等限制,这样我们就可以使用自动化工具和利用网络上泄漏的众多数据库fuzz。下面为实际测试结果,下面以C**N数据作为测试

漏洞证明:

测试结果还是很丰盛的,利用网上泄漏的数据库,我平均每小时能成功跑出1万条用户和密码,每天至少可成功fuzz出24万条淘宝用户帐号密码(只列举部分)。

修复方案:

you know it!

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2014-03-2416:20

厂商回复:

感谢你对我们的支持与关注!

最新状态:

暂无

评价

  1. 2010-01-01 00:00 爱上平顶山 白帽子 | Rank:2224 漏洞数:244)

    前排卖花生 瓜子

  2. 2010-01-01 00:00 1ee 白帽子 | Rank:94 漏洞数:11)

    这是要5W的节奏啊 !!!

  3. 2010-01-01 00:00 JiuShao 白帽子 | Rank:202 漏洞数:23)

    要火的节奏

  4. 2010-01-01 00:00 啦绯哥 白帽子 | Rank:87 漏洞数:13)

    5万的节奏

  5. 2010-01-01 00:00 银狼_avi 白帽子 | Rank:43 漏洞数:3)

    500万

  6. 2010-01-01 00:00 雷锋 白帽子 | Rank:8 漏洞数:1)

    马云和你有仇。。

  7. 2010-01-01 00:00 无敌L.t.H 白帽子 | Rank:21 漏洞数:4)

    阿里还没上市,就上首页屠版……

  8. 2010-01-01 00:00 ‫‌ 白帽子 | Rank:76 漏洞数:14)

    瓜子咯

  9. 2010-01-01 00:00 wefgod 白帽子 | Rank:1438 漏洞数:124)

    万一别人说SRC里面才可以给,你就悲剧了。不过估计你放那他就不给你那么多了……

  10. 2010-01-01 00:00 高斯 白帽子 | Rank:14 漏洞数:3)

    关注

  11. 2010-01-01 00:00 rootnmxx 白帽子 | Rank:5 漏洞数:1)

    蝈蝈阔易高速窝扣扣不

  12. 2010-01-01 00:00 路人5 白帽子 | Rank:0 漏洞数:0)

    前排必火

  13. 2010-01-01 00:00 小火苗 白帽子 | Rank:6 漏洞数:1)

    中排必火

  14. 2010-01-01 00:00 酱油甲 白帽子 | Rank:224 漏洞数:24)

    后排必火

  15. 2010-01-01 00:00 狂小子 白帽子 | Rank:20 漏洞数:1)

    后排必火

  16. 2010-01-01 00:00 wefgod 白帽子 | Rank:1438 漏洞数:124)

    这个可以。

  17. 2010-01-01 00:00 qiaoy 白帽子 | Rank:116 漏洞数:15)

    屌!

  18. 2010-01-01 00:00 ty4z2008 白帽子 | Rank:16 漏洞数:2)

    @xsser @淘宝网 这个用户名和密码建议帮忙打码

  19. 2010-01-01 00:00 大麦 白帽子 | Rank:0 漏洞数:0)

    这密码确实该打下码

  20. 2010-01-01 00:00 debbbbie 白帽子 | Rank:10 漏洞数:2)

    怎么跑的额。我用BURP怎么只能设置一个变量。。