漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-011848
漏洞标题：支付宝账户安全风险及个人信息泄漏
相关厂商：支付宝
漏洞作者： an1k3r
提交时间：2012-09-06 22:15
修复时间：2012-10-21 22:16
公开时间：2012-10-21 22:16
漏洞类型：设计缺陷/逻辑错误
危害等级：低
自评Rank：5
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-09-06： 细节已通知厂商并且等待厂商处理中
2012-09-07： 厂商已经确认，细节仅向厂商公开
2012-09-17： 细节向核心白帽子及相关领域专家公开
2012-09-27： 细节向普通白帽子公开
2012-10-07： 细节向实习白帽子公开
2012-10-21： 细节向公众公开
简要描述：
支付宝账户安全风险及个人信息泄漏
详细说明：
这个URL可以判断某个邮箱或手机是否为支付宝账户。
https://www.alipay.com/user/select_cert_no.htm?email=10003@qq.com&pwd_type=Q
用QQ邮箱做例子，可以写个脚本，把用QQ邮箱做支付宝账户的跑出来。
邮箱是支付宝账户的会返回这个页面。
邮箱不是支付宝账户的会返回这个页面。
确定是支付宝账户之后，我们可以密码找回
选择“申请人工审核”
然后，选择“忘记邮箱密码，无法进入邮箱”，就会提示输入新的email。
支付宝会往新的邮箱里发送一个email，email里带有原支付宝账户的真实姓名。
我们打开找回密码的链接。找回密码链接里的第一项就是姓名，好的，这个我们知道了。另外只需要再找到这个用户的身份证复印件即可。 0.0
支付宝的论坛club.alipay.com就给我们提供了一些个人资料信息，且部分用户的资料是对外公开的。查询这些资料只需要UID即可查询，UID我们还是可以通过这个链接查看源代码获取到。
https://www.alipay.com/user/select_cert_no.htm?email=10003@qq.com&pwd_type=Q
支付宝的密码找回是人工审核，这可能会存在一些漏洞，而且还有一些制作身份证复印件的工具提供帮助。
最后，密码找回时随便提交的一张空白照片得到的邮件是这样的，不知道提交一个接近真实身份证复印件的图片通过的概率有多大 >.<
漏洞证明：
漏洞其实有两个。
1. https://www.alipay.com/user/select_cert_no.htm?email=10003@qq.com&pwd_type=Q
可以做邮件炸弹或用来判断是否为支付宝账户。
2. 密码找回泄漏用户个人真实姓名。
这篇文只是分析了一下支付宝账户某些风险，厂商如果觉得有必要改进的话就改进下～
修复方案：
应该懂的。
版权声明：转载请注明来源 an1k3r@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：3
确认时间：2012-09-07 10:19
厂商回复：
感谢an1k3r的反馈，支付宝有严格的审核机制，根据描述并不涉及支付宝账户安全风险，我们会根据反馈进行适当的改进加强。
最新状态：
暂无