漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-096530
漏洞标题：拉手网某后台设置不当泄露商家账号可提现哦（已成功一部分）
相关厂商：拉手网
漏洞作者： answer
提交时间：2015-02-09 20:19
修复时间：2015-03-26 20:20
公开时间：2015-03-26 20:20
漏洞类型：系统/服务运维配置不当
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-02-09： 细节已通知厂商并且等待厂商处理中
2015-02-10： 厂商已经确认，细节仅向厂商公开
2015-02-20： 细节向核心白帽子及相关领域专家公开
2015-03-02： 细节向普通白帽子公开
2015-03-12： 细节向实习白帽子公开
2015-03-26： 细节向公众公开
简要描述：
rt
详细说明：
漏洞地址：f.lashou.com 是手机版的可以看到没有验证码
上burp爆破，就用猪猪侠提供的前500姓名来测试吧，成功率还高哦
这只是随意测试，如果有针对性的爆破，危害可想而知
登陆一个账号
![_PL$0GHDWGVS)HH$F{2$D]G.png](http://wimg.zone.ci/upload/201502/0919234597e541d319eb703e7f64d3e3d84ff87d.png)
哇 有钱，可以提现哦
![_NA6NH(@NAU45J]Y{W9GG5Q.png](http://wimg.zone.ci/upload/201502/09192417e878a07158582c23921b49231ee59465.png)
银行卡
![_NA6NH(@NAU45J]Y{W9GG5Q.png](http://wimg.zone.ci/upload/201502/09192456d65acf4e8a30dc5a1a57b8f00140d193.png)
还有各种交易记录
漏洞证明：
漏洞地址：f.lashou.com 是手机版的可以看到没有验证码
上burp爆破，就用猪猪侠提供的前500姓名来测试吧，成功率还高哦
这只是随意测试，如果有针对性的爆破，危害可想而知
登陆一个账号
哇 有钱，可以提现哦
银行卡
还有各种交易记录
修复方案：
加验证码
版权声明：转载请注明来源 answer@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：9
确认时间：2015-02-10 09:42
厂商回复：
已经和研发沟通,正在修复.谢谢您的关注.
最新状态：
暂无