漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2012-07745
漏洞标题:中国才储测试费用支付任意金额修改及敏感信息泄露
相关厂商:中国才储
漏洞作者: sinck
提交时间:2012-05-31 16:04
修复时间:2012-07-15 16:04
公开时间:2012-07-15 16:04
漏洞类型:设计缺陷/逻辑错误
危害等级:中
自评Rank:5
漏洞状态:未联系到厂商或者厂商积极忽略
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2012-05-31: 积极联系厂商并且等待厂商认领中,细节不对外公开
2012-07-15: 厂商已经主动忽略漏洞,细节向公众公开
简要描述:
中国才储测试费用支付任意金额修改及敏感信息泄露
详细说明:
中国才储是一个人力资源服务相关的网站,包含有各项在线测试,如MBTI性格分析,职业性格测试啥的。
今天偶然想测试下自己的职业性格,完了需要付费,支付的时候顺手试了下,发现有比较严重的问题,如下:
1.支付金额任意修改,并且不影响支付成功的确认及后续服务的提供,花了1分钱买了原价5元的测试。问题出在且不仅仅这个url(因其在线测试不止一种):
http://www.apesk.com/mensa/js_asp_gb_juankuan_pdp/index001juankuan.asp?formlink=12&liangbiao=PDP
直接拿firebug把5.00改成0.01就可以了,没敢改0.00
2.需要付费才能察看的测试结果页除url和id外无任何验证,导致只要知道这个id和url就可以无限制的免费使用本来需要付费的测试
url在: http://www.apesk.com/mbti/submit_email_date.asp?user=315813
察看自己的测试结果只需改下id就OK
漏洞证明:
修复方案:
1.对于支付金额进行校验
2.对于查询人的身份进行校验,比如查询后给带个key,只有查询后key正确且已经支付的测试id才能察看结果,防止未支付察看付费内容,也防止滥用查询察看他人测试结果(虽然设计隐私不大)。
版权声明:转载请注明来源 sinck@乌云
漏洞回应
厂商回应:
未能联系到厂商或者厂商积极拒绝