漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0113857
漏洞标题：趣分期某后台存在大量弱口令漏洞
相关厂商：趣分期
漏洞作者： px1624
提交时间：2015-05-13 11:05
修复时间：2015-06-28 10:38
公开时间：2015-06-28 10:38
漏洞类型：后台弱口令
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-13： 细节已通知厂商并且等待厂商处理中
2015-05-14： 厂商已经确认，细节仅向厂商公开
2015-05-24： 细节向核心白帽子及相关领域专家公开
2015-06-03： 细节向普通白帽子公开
2015-06-13： 细节向实习白帽子公开
2015-06-28： 细节向公众公开
简要描述：
趣分期成立于2014年4月，是国内领先的面向大学生提供分期消费的金融服务平台，覆盖了全国近3000万大学生用户。
详细说明：
1 后台地址：http://e.qufenqi.com 商家合作平台
登录没有验证码，尝试发现登录位置错误的时候会统一提示用户名或密码错误。
2 发现有个忘记密码的功能，试了试，发现这里可以可以利用判断出用户名存在与否。
随便填写个手机号，填好用户名点击发送验证码。
3 这样测试了下常见用户名，收集到了以下有效的登录用户名。
4 然后登录接口没有验证码，可以用来爆破，测试了下常见密码，爆破出了不少的弱口令！
5 随便一个都可以登入，每个帐号登入后的信息都是不一样的，应该是各自商家自己的后台系统。
test帐号的订单数据还蛮多的。
系统功能挺强大的，还可以发布新商品。
漏洞证明：
如上，说明问题即可，不深入了，求礼物！~
修复方案：
1 修补弱口令问题。
2 登录位置加上页面验证码。
版权声明：转载请注明来源 px1624@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：1
确认时间：2015-05-14 10:36
厂商回复：
感谢！
最新状态：
暂无