漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-049242
漏洞标题：甘肃移动神州行卡利用10086网站认证和边界漏洞开通5元包8G流量卡，最高可达32G流量
相关厂商：中国移动通信集团甘肃移动公司
漏洞作者： berman
提交时间：2014-01-19 09:41
修复时间：2014-03-05 09:42
公开时间：2014-03-05 09:42
漏洞类型：账户体系控制不严
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-01-19： 细节已通知厂商并且等待厂商处理中
2014-01-23： 厂商已经确认，细节仅向厂商公开
2014-02-02： 细节向核心白帽子及相关领域专家公开
2014-02-12： 细节向普通白帽子公开
2014-02-22： 细节向实习白帽子公开
2014-03-05： 细节向公众公开
简要描述：
甘肃移动神州行卡，利用10086网站业务开通认证漏洞，开通8G流量，最高可叠加流量达32G，并可利用系统边界漏洞，造成5元包8G 或 5元包32G流量
详细说明：
首先准备一张甘肃神州行卡（如畅听卡），确保未开通任何GPRS套餐，且话费余额保持大于16元。
然后凭手机号码和服务密码登录甘肃移动官方网站办理手机上网套餐，地址是http://www.gs.10086.cn/service/obsh.html#GPRSTC
登录后总共有5元～200元共七档<移动数据业务套餐>可以办理，例如办理100元包2G上网流量，办理的时候选择生效方式为【次月】，然后点开通，会提示需要确认，此时再打开一个浏览器窗口登录同样的网址，选择办理100元包2G上网流量，次月生效，点开通，弹出确认提示。重复同样步骤打开5个浏览器窗口，然后逐一点确定办理，均提示办理成功。
然后在甘肃掌上营业厅的【在用业务】可查询到，次月叠加生效了四个100元包2G流量套餐（测试发现同一档套餐最高只能叠加四次），也就是有8G流量，掌厅查询地址是http://wap.gs.10086.cn/page.do?page=CX_ZYYW&busiNum=CX_ZYYW&reqHandle=queryHandle
接着将其他六档数据流量套餐按照以上步骤 叠加办理次月生效，
即(30M + 70M + 150M + 280M + 500M + 2G + 5G)×4 = 8198M ×4 = 32792M （32G流量）
实际使用中因移动系统有15G封顶限制，所以即使同一套餐不叠加，也有8198M（8G流量）
在办理好次月生效的流量后，取消GPRS功能，再进入停机保号地址http://www.gs.10086.cn/service/obsh.html#TJBH
预备办理停机保号，确认停机的同时，网页同时确认开通GPRS功能，均提示办理成功。因系统认证和边界漏洞造成停机仍可以上网。重启手机，上网正常，但不能拨打电话和发送短信。等待次月1日流量生效后，流量套餐费均不扣取，仅扣取5元停机保号费，造成5元包8G流量或5元包30G流量。
漏洞证明：
修复方案：
同一档次和不同档次流量套餐套餐需互斥。否则同一档次和不同档次流量套餐会叠加，造成重复扣费和赠送流量，同时会导致流量加油包业务失去意义。且在办理停机业务是应设定业务指令锁定时间，需在该指令处理完毕后方可处理下一个指令，以避免边界绕过漏洞。
版权声明：转载请注明来源 berman@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-01-23 08:28
厂商回复：
CNVD未直接复现，已经转报给中国移动集团公司处置。
最新状态：
暂无