漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2013-025223
漏洞标题:阿里巴巴,淘宝,支付宝任意修改绑定手机号
相关厂商:阿里巴巴
漏洞作者: 无可取代
提交时间:2013-06-05 22:32
修复时间:2013-07-20 22:33
公开时间:2013-07-20 22:33
漏洞类型:网络未授权访问
危害等级:高
自评Rank:10
漏洞状态:厂商已经确认
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2013-06-05: 细节已通知厂商并且等待厂商处理中
2013-06-07: 厂商已经确认,细节仅向厂商公开
2013-06-17: 细节向核心白帽子及相关领域专家公开
2013-06-27: 细节向普通白帽子公开
2013-07-07: 细节向实习白帽子公开
2013-07-20: 细节向公众公开
简要描述:
登陆异常或重要操作时会弹出手机验证,恶意用户即使得到他人的账号和密码后,还是会被这个安全限制。此漏洞是在得到账户和密码后,不需要绑定的手机,依然可以解除手机绑定,甚至修改绑定手机为任意手机号,从而绕过了这个安全限制。只要得到账号和密码,就可以进行任意操作
详细说明:
1. 账户和密码登陆阿里巴巴,进入“账号设置”,点击修改登录手机或者取消手机验证,点击“获取验证码”,这时使用Fiddle拦截,会发现请求验证码会发送手机号码和账号名称,修改这两个信息为自己的,然后验证码就发到自己的手机上去了
2. 速度填上收到的验证码,点击“确定”,在使用Fiddle拦截请求,会发现还会发送手机号,再改为自己号码
3. 好了,绑定的手机就改成自己的了
漏洞证明:
修复方案:
1.阿里巴巴,淘宝,支付宝还有相关客户端,在登录之前必须检查账户或登录地址是否异常,异常情况下都要求手机验证,而不能允许进入系统。(这个方案貌似这两天加上去了,原来阿里巴巴通过阿里助手登陆没有异常验证)
2.不要把用户手机号码等敏感的数据写在前端,更不要随意相信前端传上来的数据。
3. 检查整个子网站和客户端是否有类似安全问题
版权声明:转载请注明来源 无可取代@乌云
漏洞回应
厂商回应:
危害等级:低
漏洞Rank:3
确认时间:2013-06-07 15:01
厂商回复:
感谢您对我们的关注与支持,该问题我们正在修复~ ^_^
最新状态:
暂无