当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-021243

漏洞标题:快乐购认证设计的几处缺陷

相关厂商:快乐购物股份有限公司

漏洞作者: 小胖胖要减肥

提交时间:2013-04-07 15:41

修复时间:2013-05-22 15:42

公开时间:2013-05-22 15:42

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-04-07: 细节已通知厂商并且等待厂商处理中
2013-04-07: 厂商已经确认,细节仅向厂商公开
2013-04-17: 细节向核心白帽子及相关领域专家公开
2013-04-27: 细节向普通白帽子公开
2013-05-07: 细节向实习白帽子公开
2013-05-22: 细节向公众公开

简要描述:

这个问题看各个公司的业务吧,非通用,xss说刷分就刷分吧,但对电商绝对是个大漏洞,看到时候的漏洞评分吧,只是为了帮助企业修复漏洞

详细说明:

1 先说一个bug,客户端案桌手机注册后,未完善信息,直接购买东西,点击立即购买,报错了,如图

klg1.jpg


2 http,get明文传输用户名密码,客户端太多了,就截个图,那几个接口就是在客户端找的

klg2.jpg

漏洞证明:

3 遍历用户名验证单个秘码,最多1小时验证5个,因为有

klg3.jpg


所以我遍历用户名就好了,假设我拿到了很多用户的用户名,那可以让他们都不能登陆了,这也是个大问题,具体用户名哪来,csdn等都很多
http://m.happigo.com/datai/bus.php?fid=as0010&username=******&pwd=*****&cps_id=0

klg4.jpg


4 暴力注册对于电商是个很大问题,即使不是电商,新浪微薄,企鹅微薄也是,危害甲方肯定懂的
http://m.happigo.com/datai/bus.php?&fid=as0008&username=Z******&pwd=*******&email=********@qq.com&cps_id=0

klg5.jpg


修复方案:

评分标准,甲方可参考看是否合理 明文传输2分,单个秘密暴力用户名验证5分,暴力注册10-15分
解决办法:
1 使用https或者其他加密的post传输,推起来教难
2 手机登录,注册接口必须修复,对于客户端需要验证码未尝不可,具体策略你们自己决定吧,关键不要再次被绕过,好好测试
这次能申请给力点的礼物么

版权声明:转载请注明来源 小胖胖要减肥@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2013-04-07 15:57

厂商回复:

感谢小胖胖要减肥对漏洞的提交,我们会及时修复

最新状态:

暂无