漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-025223
漏洞标题：阿里巴巴，淘宝，支付宝任意修改绑定手机号
相关厂商：阿里巴巴
漏洞作者： 无可取代
提交时间：2013-06-05 22:32
修复时间：2013-07-20 22:33
公开时间：2013-07-20 22:33
漏洞类型：网络未授权访问
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-06-05： 细节已通知厂商并且等待厂商处理中
2013-06-07： 厂商已经确认，细节仅向厂商公开
2013-06-17： 细节向核心白帽子及相关领域专家公开
2013-06-27： 细节向普通白帽子公开
2013-07-07： 细节向实习白帽子公开
2013-07-20： 细节向公众公开
简要描述：
登陆异常或重要操作时会弹出手机验证，恶意用户即使得到他人的账号和密码后，还是会被这个安全限制。此漏洞是在得到账户和密码后，不需要绑定的手机，依然可以解除手机绑定，甚至修改绑定手机为任意手机号，从而绕过了这个安全限制。只要得到账号和密码，就可以进行任意操作
详细说明：
1. 账户和密码登陆阿里巴巴，进入“账号设置”，点击修改登录手机或者取消手机验证，点击“获取验证码”，这时使用Fiddle拦截，会发现请求验证码会发送手机号码和账号名称，修改这两个信息为自己的，然后验证码就发到自己的手机上去了
2. 速度填上收到的验证码，点击“确定”，在使用Fiddle拦截请求，会发现还会发送手机号，再改为自己号码
3. 好了，绑定的手机就改成自己的了
漏洞证明：
修复方案：
1.阿里巴巴，淘宝，支付宝还有相关客户端，在登录之前必须检查账户或登录地址是否异常，异常情况下都要求手机验证，而不能允许进入系统。（这个方案貌似这两天加上去了，原来阿里巴巴通过阿里助手登陆没有异常验证）
2.不要把用户手机号码等敏感的数据写在前端，更不要随意相信前端传上来的数据。
3. 检查整个子网站和客户端是否有类似安全问题
版权声明：转载请注明来源 无可取代@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：3
确认时间：2013-06-07 15:01
厂商回复：
感谢您对我们的关注与支持，该问题我们正在修复~ ^_^
最新状态：
暂无