当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-048438

漏洞标题:支付宝某接口漏洞危害:有了支付宝,查别人话费余额、欠费情况、户主真实姓名、每月定时提醒及其社工再也不用愁了

相关厂商:支付宝

漏洞作者: momo

提交时间:2014-01-09 23:05

修复时间:2014-02-23 23:06

公开时间:2014-02-23 23:06

漏洞类型:账户体系控制不严

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-01-09: 细节已通知厂商并且等待厂商处理中
2014-01-13: 厂商已经确认,细节仅向厂商公开
2014-01-23: 细节向核心白帽子及相关领域专家公开
2014-02-02: 细节向普通白帽子公开
2014-02-12: 细节向实习白帽子公开
2014-02-23: 细节向公众公开

简要描述:

标题有点长有点夸张,是来让大家拍砖的。
本来拿来自己方便以后查信息的,但是想着还是提交给支付宝。

详细说明:

支付宝手机客户端的 <固话宽带> 功能设计的不是很完善,然后有了漏洞证明的图片信息
1,这个功能能够查询任意号码(不受地区限制!)的相关信息:欠费情况、户主真实姓名、宽带账号等(见漏洞证明图片)蓝色框起来的GDBD是县城和镇的手写字母;
2,查询记录会保存在支付宝账户下面(见漏洞证明图片);
3,手机短信提醒话费情况和订阅每月某个日期返回宽带费用信息(见漏洞证明图片);
4,请允许我邪恶的想法说出来一下:
还可以拿来:
1、社工
2、诈骗电话(说什么电话欠费或者国际长途什么的,然后报户主名字和电话号码和宽带账号让户主信任)
3、敲诈勒索
4、这些有泄露宽带账号密码,盗取来的宽带账号密码,可以开代理消费,密码怎么获得?看这..进行社工密码或者说是电信的工作人员骗取密码,然后盗用宽带消费,因为好多都是后续费的用户

...太多了,我认为能够用到的方法,只要别人拿到信息都会去利用

漏洞证明:

1,这个功能能够查询任意号码(不受地区限制!)的相关信息:欠费情况、户主真实姓名、宽带账号等漏洞证明图


1.PNG


2.PNG


3.PNG


4.PNG


5.PNG


6.PNG


2,查询记录会保存在支付宝账户下面(漏洞证明图片)


11.PNG


22.PNG


33.PNG


44.PNG


3,手机短信提醒话费情况和订阅每月某个日期返回宽带费用信息(漏洞证明图片)


111.PNG


222.PNG


333.PNG


444.PNG


555.PNG

修复方案:

不知道新年有礼物否?
1,户主名字不要全部显示,只显示最后2个或者1个,其余的*号代替;
2,可以参考支付宝相互转账的一些设计进行设置;
3,想不到了。
你们是国内第一大支付平台,肯定对这些都有研究,还是你们自己来吧。

版权声明:转载请注明来源 momo@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:3

确认时间:2014-01-13 14:07

厂商回复:

多谢momo的反馈,我们已在进行处理,感谢对支付宝安全的支持。

最新状态:

暂无