漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-049547
漏洞标题：江苏移动商城无需手机获取手机验证码
相关厂商：中国移动
漏洞作者： 一刀终情
提交时间：2014-01-22 16:16
修复时间：2014-01-24 15:47
公开时间：2014-01-24 15:47
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-01-22： 细节已通知厂商并且等待厂商处理中
2014-01-24： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
江苏移动商城无需手机获取手机验证码
详细说明：
江苏移动商城无需手机获取手机验证码;
点击获取验证码的时候，json数据里居然返回了验证码！（好奇葩，没仔细看，估计返回以后在本地验证输入的验证码是否正确）
输入验证码之后，验证成功（可能超市了，验证成功跳到支付宝了，不过好像有点错误= =！）
漏洞证明：
点击获取验证码的时候，json数据里居然返回了验证码！（好奇葩，没仔细看，估计返回以后在本地验证输入的验证码是否正确）
输入验证码之后，验证成功（可能超市了，验证成功跳到支付宝了，不过好像有点错误= =！）
作为前移动员工，没好意思进行大实测：
1、移动用户很多很多人的网上营业厅登陆密码，是营业员设置的初始密码123321,888888,666666,666888……类似这种密码……
2、移动登陆密码6位纯数字，找到个接口爆破太快了
3、江苏移动的商城现在支持话费余额支付，商城币支付
4、按号段很容易找到大客户，江苏的1380,1390号段基本都是做生意的~~
修复方案：
验证码直接返回了，还验证什么东东呢@@
已经跟前同事们联系了一下，不知道有没有处理~
版权声明：转载请注明来源 一刀终情@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-01-24 15:47
厂商回复：
CNVD未能实时复现所述情况，暂不列入处置流程。
最新状态：
暂无