WooYun.org

华为商城抢购荣耀7手机需要使用手机号码作为账号登陆。然而用户的手机号码可在机主不知情的情况下被盗用。在下由于手机坏想要抢一部荣耀7，但是使用手机号码1825*登陆华为商城后发现用户资料中的安全邮箱和安全手机皆为他人的号码。拨打安全手机13692285604，发现为深圳移动的号码。而在下厦门移动1825*的手机号码使用已有5年，不会是号码的前任主人注册的。很可能是有人利用华为商城注册程序的漏洞用他人的手机号码注册了账号。建议华为公司清查手机号码与安全手机号码归属地不同及一个安全手机或邮箱同时关联多个手机号码账号的情况，防止恶意抢购的不法行为出现。
修改用户资料中安全邮箱及安全手机正常流程需要经过以下4步：
1 输入新手机号
2 验证新手机号
3 安全确认
4 完成
其中第2步“验证新手机号”会发送短信验证码至新手机。第3步“安全确认”会发送短信验证码至旧手机。由于在下并无该安全手机，无法完成安全手机及邮箱的修改，导致账号存在被人盗用的风险。由于验证机制存在问题。导致攻击者在第3步时可以自行定义进行安全确认的旧手机号码。从而绕过需要安全手机进行确认的保护机制。