当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0178432

漏洞标题：投注网某接口设计缺陷可绕过验证码撞库导致泄漏用户信息可消耗用户元宝等

相关厂商：投注网

漏洞作者： 路人甲

提交时间：2016-02-25 10:05

修复时间：2016-03-01 10:10

公开时间：2016-03-01 10:10

漏洞类型：设计缺陷/逻辑错误

危害等级：低

自评Rank：3

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-02-25： 细节已通知厂商并且等待厂商处理中
2016-03-01： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

投注网某接口设计缺陷可绕过验证码撞库导致泄漏用户信息可消耗用户元宝等

详细说明：

WooYun: 投注网某接口设计缺陷可撞库导致泄漏用户信息可消耗用户元宝等 和这个洞是同二级域名但不是同接口
http://game.touzhu.cn登录位置有验证码限制

111111.png


经过测试验证码可绕过，就是验证码抓包不过期，然后用户名密码明文传输

222222.png


接下来就是测试撞库，判断字节应该是成功的：

333333.png


给出一些帐号证明：

mask 区域 
*****1111	*****
*****98912*****
*****675851*****
*****mmm	h653*****
*****0	85032*****
*****199162*****
*****26753*****
*****991911*****
*****iu	123*****
*****696388*****
*****40	123*****
*****432158*****
*****18937*****
*****00200*****
*****323856*****
*****27006*****
*****	12345*****
*****inhong*****
*****789999*****
*****36742*****
*****	75850*****
*****884254*****
*****zhao008*****
*****4	4746*****
*****198	198*****
*****80025*****
*****ying	*****
*****292	gaop*****
*****383102*****
*****nasoni*****
*****345678*****
*****nshan*****
*****2	87548*****
*****982082*****
*****ldd_542*****
*****lncl52*****
*****7	8710*****
*****51014*****
*****	23261*****
*****fxs1375*****
*****hy6811*****
*****3174	8*****


登录网站之后可以消耗元宝之类的就不多说了你们懂得。。

漏洞证明：

WooYun: 投注网某接口设计缺陷可撞库导致泄漏用户信息可消耗用户元宝等 和这个洞是同二级域名但不是同接口
http://game.touzhu.cn登录位置有验证码限制

111111.png


经过测试验证码可绕过，就是验证码抓包不过期，然后用户名密码明文传输

222222.png


接下来就是测试撞库，判断字节应该是成功的：

333333.png


给出一些帐号证明：

mask 区域 
*****1111	*****
*****98912*****
*****675851*****
*****mmm	h653*****
*****0	85032*****
*****199162*****
*****26753*****
*****991911*****
*****iu	123*****
*****696388*****
*****40	123*****
*****432158*****
*****18937*****
*****00200*****
*****323856*****
*****27006*****
*****	12345*****
*****inhong*****
*****789999*****
*****36742*****
*****	75850*****
*****884254*****
*****zhao008*****
*****4	4746*****
*****198	198*****
*****80025*****
*****ying	*****
*****292	gaop*****
*****383102*****
*****nasoni*****
*****345678*****
*****nshan*****
*****2	87548*****
*****982082*****
*****ldd_542*****
*****lncl52*****
*****7	8710*****
*****51014*****
*****	23261*****
*****fxs1375*****
*****hy6811*****
*****3174	8*****


登录网站之后可以消耗元宝之类的就不多说了你们懂得。。

修复方案：

加密啊

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2016-03-01 10:10

厂商回复：

最新状态：

暂无