当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-025223

漏洞标题:阿里巴巴,淘宝,支付宝任意修改绑定手机号

相关厂商:阿里巴巴

漏洞作者: 无可取代

提交时间:2013-06-05 22:32

修复时间:2013-07-20 22:33

公开时间:2013-07-20 22:33

漏洞类型:网络未授权访问

危害等级:高

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-06-05: 细节已通知厂商并且等待厂商处理中
2013-06-07: 厂商已经确认,细节仅向厂商公开
2013-06-17: 细节向核心白帽子及相关领域专家公开
2013-06-27: 细节向普通白帽子公开
2013-07-07: 细节向实习白帽子公开
2013-07-20: 细节向公众公开

简要描述:

登陆异常或重要操作时会弹出手机验证,恶意用户即使得到他人的账号和密码后,还是会被这个安全限制。此漏洞是在得到账户和密码后,不需要绑定的手机,依然可以解除手机绑定,甚至修改绑定手机为任意手机号,从而绕过了这个安全限制。只要得到账号和密码,就可以进行任意操作

详细说明:

1. 账户和密码登陆阿里巴巴,进入“账号设置”,点击修改登录手机或者取消手机验证,点击“获取验证码”,这时使用Fiddle拦截,会发现请求验证码会发送手机号码和账号名称,修改这两个信息为自己的,然后验证码就发到自己的手机上去了
2. 速度填上收到的验证码,点击“确定”,在使用Fiddle拦截请求,会发现还会发送手机号,再改为自己号码
3. 好了,绑定的手机就改成自己的了

漏洞证明:

QQ截图20130605213756.png

修复方案:

1.阿里巴巴,淘宝,支付宝还有相关客户端,在登录之前必须检查账户或登录地址是否异常,异常情况下都要求手机验证,而不能允许进入系统。(这个方案貌似这两天加上去了,原来阿里巴巴通过阿里助手登陆没有异常验证)
2.不要把用户手机号码等敏感的数据写在前端,更不要随意相信前端传上来的数据。
3. 检查整个子网站和客户端是否有类似安全问题

版权声明:转载请注明来源 无可取代@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:3

确认时间:2013-06-07 15:01

厂商回复:

感谢您对我们的关注与支持,该问题我们正在修复~ ^_^

最新状态:

暂无