漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0115559
漏洞标题：顺丰官网可以任意下载快递底单扫描图片
相关厂商：顺丰速运
漏洞作者： 唐伯虎
提交时间：2015-05-25 10:10
修复时间：2015-07-09 10:42
公开时间：2015-07-09 10:42
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-25： 细节已通知厂商并且等待厂商处理中
2015-05-25： 厂商已经确认，细节仅向厂商公开
2015-06-04： 细节向核心白帽子及相关领域专家公开
2015-06-14： 细节向普通白帽子公开
2015-06-24： 细节向实习白帽子公开
2015-07-09： 细节向公众公开
简要描述：
可造成大面积的客户信息泄露，信息落入不法分子手中，可冒充顺丰快递进行诈骗！
详细说明：
通过顺丰快递官网用注册账号登陆我的顺丰，然后输入单号查询跟踪快递信息，可查询快递回单图片，这时候需要输入寄方或者收方的电话获取动态验证码方可查看到扫描的快递底单，但前提是自己发的货，必须可以用手机号获取动态验证码的，如图：
漏洞证明：
然后通过技术手段编写成一套采集软件可绕过顺丰官网的短信验证，登录的还是原来注册的顺丰会员账号，登录地址不变https://i.sf-express.com/cn/sc/index.html，但是通过这套软件就登录可以不用获取填写短信验证，就能任意下载扫描的客户底单，单号可以是任意的只要是能在顺丰官网查询的，哪怕是别人发货的，很恐怖吧？
修复方案：
需要顺丰工作人员进行详细的分析！
版权声明：转载请注明来源 唐伯虎@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-05-25 10:41
厂商回复：
非常感谢！该漏洞已经处理完成，欢迎验证。
最新状态：
暂无