漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0123047
漏洞标题：P2P金融安全之天勤两处逻辑错误（可能影响用户资金安全）
相关厂商：tinken.net
漏洞作者： 艾薇儿
提交时间：2015-06-27 01:49
修复时间：2015-08-15 09:18
公开时间：2015-08-15 09:18
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-27： 细节已通知厂商并且等待厂商处理中
2015-07-01： 厂商已经确认，细节仅向厂商公开
2015-07-11： 细节向核心白帽子及相关领域专家公开
2015-07-21： 细节向普通白帽子公开
2015-07-31： 细节向实习白帽子公开
2015-08-15： 细节向公众公开
简要描述：
听说厂商好，能给高rank.
详细说明：
漏洞描述：
用户注册及用户登录处存在逻辑错误，注册时手机动态验证码是纯4位数字，并且没有错误次数限制
用户登录功能，后台程序没有判断验证码过期，导致验证码可以重复使用，可爆破用户或撞库
漏洞证明：
0x01
用户注册功能
正常注册流程，输入手机号，验证码，
然后下一步，系统会给手机发送动态验证码,
我们输入需要的信息，验证码随便填，
点击注册，提示验证码错误，
将注册请求放到工具里跑下
测试登录
0x02
用户登录功能
正常登录流程，账号和验证码正确，密码错误，
点击登录，提示账号或密码错误，然后验证码刷新，
一切看着很符合逻辑
我们看下请求
在工具里面再次请求，响应值是2，测试为验证码错误的返回值，
然后将验证码改为刷新后的 8408
然后请求N次 返回值一样。说明验证码没有失效 那么爆破密码，撞库都可以了
密码正确 返回1
修复方案：
手机动态验证码建议使用6位以上的 最好字母与数字混合的
登录的验证码增加逻辑验证
版权声明：转载请注明来源 艾薇儿@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2015-07-01 09:17
厂商回复：
和之前漏洞类似，我们这边会统一对流程做修改，非常感谢您的提交
最新状态：
暂无