漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-048142
漏洞标题：华企快递管理员邮箱控制不严
相关厂商：华企快递
漏洞作者： 梦魇
提交时间：2014-01-07 12:47
修复时间：2014-02-21 12:47
公开时间：2014-02-21 12:47
漏洞类型：账户体系控制不严
危害等级：低
自评Rank：1
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-01-07： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-02-21： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
华企快递管理员邮箱
详细说明：
通过查询http://www.hqkd.cn
获取到管理员邮箱:shanghai_fang@163.com
直接到163输入该邮箱找回密码
看了一下选择其他找回方式 里面有个通过***********ng@hotmail.com保密邮箱找回密码
很容易就猜测出 保密邮箱为
shanghai_fang@hotmail.com
然后检测了一下 发现保密邮箱未注册。。这个 。。
于是我就注册了一下
shanghai_fang@hotmail.com 注册成功
可找回密码 但由于有绑定将军令限制 未再深入
漏洞证明：
修复方案：
管理员邮箱需慎重
请去掉保密邮箱shanghai_fang@hotmail.com
版权声明：转载请注明来源 梦魇@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝