漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-021243
漏洞标题：快乐购认证设计的几处缺陷
相关厂商：快乐购物股份有限公司
漏洞作者： 小胖胖要减肥
提交时间：2013-04-07 15:41
修复时间：2013-05-22 15:42
公开时间：2013-05-22 15:42
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-04-07： 细节已通知厂商并且等待厂商处理中
2013-04-07： 厂商已经确认，细节仅向厂商公开
2013-04-17： 细节向核心白帽子及相关领域专家公开
2013-04-27： 细节向普通白帽子公开
2013-05-07： 细节向实习白帽子公开
2013-05-22： 细节向公众公开
简要描述：
这个问题看各个公司的业务吧，非通用，xss说刷分就刷分吧，但对电商绝对是个大漏洞，看到时候的漏洞评分吧，只是为了帮助企业修复漏洞
详细说明：
1 先说一个bug，客户端案桌手机注册后，未完善信息，直接购买东西，点击立即购买，报错了，如图
2 http，get明文传输用户名密码，客户端太多了，就截个图，那几个接口就是在客户端找的
漏洞证明：
3 遍历用户名验证单个秘码，最多1小时验证5个，因为有
所以我遍历用户名就好了，假设我拿到了很多用户的用户名，那可以让他们都不能登陆了，这也是个大问题，具体用户名哪来，csdn等都很多
http://m.happigo.com/datai/bus.php?fid=as0010&username=******&pwd=*****&cps_id=0
4 暴力注册对于电商是个很大问题，即使不是电商，新浪微薄，企鹅微薄也是，危害甲方肯定懂的
http://m.happigo.com/datai/bus.php?&fid=as0008&username=Z******&pwd=*******&email=********@qq.com&cps_id=0
修复方案：
评分标准，甲方可参考看是否合理 明文传输2分，单个秘密暴力用户名验证5分，暴力注册10-15分
解决办法：
1 使用https或者其他加密的post传输，推起来教难
2 手机登录，注册接口必须修复，对于客户端需要验证码未尝不可，具体策略你们自己决定吧，关键不要再次被绕过，好好测试
这次能申请给力点的礼物么
版权声明：转载请注明来源 小胖胖要减肥@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2013-04-07 15:57
厂商回复：
感谢小胖胖要减肥对漏洞的提交，我们会及时修复
最新状态：
暂无