腾讯身份证绑定可能带来风险

漏洞概要

缺陷编号:WooYun-2012-05723

漏洞标题:腾讯身份证绑定可能带来风险

相关厂商:腾讯

漏洞作者:天一生水

提交时间:2012-04-02 08:03

公开时间:2012-04-06 11:23

漏洞类型:账户体系控制不严

危害等级:中

自评Rank:7

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2012-04-02: 细节已通知厂商并且等待厂商处理中
2012-04-02: 厂商已查看当前漏洞内容,细节仅向厂商公开
2012-04-06: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

身份证号码绑定不严格

详细说明:

对于未经过身份证绑定的用户来说,进入游戏都会有限制,一般就是游戏时间长短的问题。..游戏会自动弹出一个对话框,要求进行身份证跟姓名输入..一般是进入http://jkyx.qq.com.这时我们只要知道对方账号跟密码..登陆游戏,输入自己身份证账号,我们的身份证账号就和那个QQ帐号绑定了,一般来说是没法修改的...严重损害了正常玩家的利益....另外,账号被别人恶意绑定对拍拍跟财付通的影响,暂未尝试...

漏洞证明:

修复方案:

加强对个人信息提交的验证...比如进行绑定身份证号码的时候进行对密保问题的测试....

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2012-04-06 11:23

厂商回复:

感谢您的反馈,我们认为这个不属于安全问题。

最新状态:

暂无

评价

  1. 2010-01-01 00:00 Pentos 白帽子 | Rank:24 漏洞数:8)

    身份证号码绑定不严格是怎么个意思?

  2. 2010-01-01 00:00 天一生水 白帽子 | Rank:0 漏洞数:2)

    @Pentos 知道账号跟密码就可以绑定任意一个身份证....进http://jkyx.qq.com。输入账号密码就可以绑定,并且不能修改

  3. 2010-01-01 00:00 Pentos 白帽子 | Rank:24 漏洞数:8)

    @天一生水 这个是游戏防沉迷的吧,是GOV要求的,跟账号安全信息那个不是一回事吧,腾讯在aq.qq.com已经说过一旦填写就无法更改的。莫非我OUT了?fcm.qq.com

  4. 2010-01-01 00:00 天一生水 白帽子 | Rank:0 漏洞数:2)

    @Pentos 对啊..我的意思就是在进行绑定的时候要验证密保,要不然容易恶意绑定。。

  5. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    @天一生水 顶你!我觉得这个属于对于敏感数据保护不当的一个例子