漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-044897
漏洞标题：电商普及型安全-美团扫号篇(接口设计不当)
相关厂商：美团网
漏洞作者： 小胖胖要减肥
提交时间：2013-12-04 14:53
修复时间：2014-01-18 14:54
公开时间：2014-01-18 14:54
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-04： 细节已通知厂商并且等待厂商处理中
2013-12-04： 厂商已经确认，细节仅向厂商公开
2013-12-14： 细节向核心白帽子及相关领域专家公开
2013-12-24： 细节向普通白帽子公开
2014-01-03： 细节向实习白帽子公开
2014-01-18： 细节向公众公开
简要描述：
美团网可扫号，当然很多网站都可以，各大电商都有相应的措施，对于美团销售额7000万+的美团是否能够这样轻易的进入用户账号呢
详细说明：
美团 当前登陆，注册都是使用https
可是还是能够http访问，没有地址重定向或者tengine进行配置不支持http
这样可以轻松模拟请求，包括判断账号是否注册
这样就提高了扫号的成功率，用密正很高吧，下面是没经过这个过滤的，扫号成功率还是很高
漏洞证明：
下面我用一个美团登陆请求，用http访问
参数化2个参数，扫号，成功率不错
搞了几分钟，几千个账号了，不过我没用，还是做限制吧
修复方案：
1 登陆失败5次以后，包括ip和单个账户，都需要验证码
2 对于请求做简单的人机判断，如请求间隔等，建立临时黑名单
3 对于一个ip登陆多个账号的，判断用户异常，你们那个策略太宽泛了
即使用不了钱，用户信息还是很珍贵的，是吗
版权声明：转载请注明来源 小胖胖要减肥@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2013-12-04 15:05
厂商回复：
感谢对美团网的关注，正在处理。。
最新状态：
暂无