漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-055769
漏洞标题：新网某代理商平台部分用户密码泄漏及支付消费风险
相关厂商：新网华通信息技术有限公司
漏洞作者： 不痛不痒
提交时间：2014-04-08 10:34
修复时间：2014-05-23 10:35
公开时间：2014-05-23 10:35
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-04-08： 细节已通知厂商并且等待厂商处理中
2014-04-08： 厂商已经确认，细节仅向厂商公开
2014-04-18： 细节向核心白帽子及相关领域专家公开
2014-04-28： 细节向普通白帽子公开
2014-05-08： 细节向实习白帽子公开
2014-05-23： 细节向公众公开
简要描述：
代理商平台存在支付缺陷 不需要（密码验证）即可消费。
发现一百二十万的账户，提现发财了= =
详细说明：
说好了不聊群里聊漏洞的，说好了，休息会儿的！手抽筋啊 ！手贱啊！
还是进入代理商平台了!
WooYun: 新网某运营平台存在弱口令（部分域名解析、空间等安全)
都是店小二惹得祸,
(调侃下 请记住我是xinnet的店小二，请记住我的密码是123456)
……
此处省略，一百二十万的账户，提现发财了= =
http://agent.xinnet.com/index.do?method=index
提供一个账号agent36416 代理密码：123456qq 公开请删除！
漏洞证明：
修复方案：
1、会员模板资料资料提交里 有多个注入点
2、会员消费 没有验证机制！无论金额多大，消费多少，消费何种产品，缺乏验证机制！直接消费。
3、域名 解析的密码 ，邮局登陆的密码，均可直接设置，缺乏验证机制！
任何平台只要涉及到支付交易，就应该有验证机制。
4、平台中填写的个人敏感信息应该做隐藏处理
版权声明：转载请注明来源 不痛不痒@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2014-04-08 10:57
厂商回复：
漏洞已收到，正在玩命确认及修复中，多谢不痛不痒@乌云。
最新状态：
2014-06-13：2014-06-13：漏洞已修复，多谢不痛不痒@乌云反馈