漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-013836
漏洞标题：新华旅行网无限发送短信+手机找回密码逻辑错误无验证
相关厂商：新华旅行网
漏洞作者： 天星宿命
提交时间：2012-10-24 11:41
修复时间：2012-12-08 11:41
公开时间：2012-12-08 11:41
漏洞类型：网络设计缺陷/逻辑错误
危害等级：中
自评Rank：1
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-10-24： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-12-08： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
一开始发现新华旅行网有远程执行漏洞,手机找回密码也各种没验证,因为有朋友在那里,就直接通知他们了.最近想在乌云留言才发现是邀请注册..好吧,我再爆2个漏洞好了
详细说明：
1. 无限发送短信
这样短信就发出去了,无间隔,短信轰炸轻而易举.
用想轰炸的手机号注册一个账号即可,无验证
2.找回密码
邮箱找回密码的URL是用户guid加一个固定的串,一切都是固定的
手机找回密码是一条4位code短信
找回密码功能只是开启这个账号的找回权限,并且一个时间限制
SO..邮箱找回密码,那个固定的串拿不到,所以没法改密码
但,手机找回密码, code和账号并不绑定,所以给自己发条短信,给对方发条短信,就可以用自己的验证码改对方的密码.(这还是补过的.最早连短信都不用发)
漏洞证明：
1.无图,直接url...
2.
先给自己手机发条短信
然后再用url给另外个手机发个短信,为了开找回权限,
再把自己的验证码和对方的手机号填上
输入新密码
更改成功
登录一下试试看
手机号没有注册会提示手机号没注册,但可批量验证手机号,反正只有10位数字是不固定的.
进入账号后资金帐户危险
修复方案：
1.加频率限制,加验证,所谓用户体验是建立在安全上的
2.绑定手机号和code
3.求心愿旅行卡
版权声明：转载请注明来源 天星宿命@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝