漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-040673
漏洞标题：可以欺骗劫持进入来往用户的帐号
相关厂商：阿里巴巴
漏洞作者： 呆子不开口
提交时间：2013-10-22 17:25
修复时间：2013-12-06 17:26
公开时间：2013-12-06 17:26
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-22： 细节已通知厂商并且等待厂商处理中
2013-10-24： 厂商已经确认，细节仅向厂商公开
2013-11-03： 细节向核心白帽子及相关领域专家公开
2013-11-13： 细节向普通白帽子公开
2013-11-23： 细节向实习白帽子公开
2013-12-06： 细节向公众公开
简要描述：
可以欺骗劫持进入来往用户的帐号，而且非常容易欺骗成功
详细说明：
来往有个网页版，可以利用客户端登录网页版来扫描登录
就是说用在登录网页版的功能中，扫描网页上的二维码，网页版即登录成功
但是我试了下添加好友的扫一扫功能，如果扫此二维码，也会使网页版登录成功
所以，我可以把网页版生成的二维码发给好友或发在微博上，说这是我的来往帐号二维码，请大家加我好友。他只要用添加好友的扫一扫扫一下，我这边的网页版就以他的身份登录成功了
如下是我欺骗好友成功的截图
漏洞证明：
修复方案：
添加好友功能的扫描尽量不要识别登录的功能
或者识别出后，给出安全提示，让用户确认是否是自己操作
版权声明：转载请注明来源 呆子不开口@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2013-10-24 13:54
厂商回复：
感谢您对我们的支持与关注哦，该问题我们正在修复中~~
最新状态：
暂无