漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-053027
漏洞标题：中国移动互联网通行证，可破139邮箱、彩云、飞信用户密码可被撞库
相关厂商：中国移动
漏洞作者： 路人甲
提交时间：2014-03-07 14:30
修复时间：2014-04-21 14:31
公开时间：2014-04-21 14:31
漏洞类型：账户体系控制不严
危害等级：中
自评Rank：6
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-03-07： 细节已通知厂商并且等待厂商处理中
2014-03-12： 厂商已经确认，细节仅向厂商公开
2014-03-22： 细节向核心白帽子及相关领域专家公开
2014-04-01： 细节向普通白帽子公开
2014-04-11： 细节向实习白帽子公开
2014-04-21： 细节向公众公开
简要描述：
通过破解中国移动互联网通行证，可批量得到飞信、139邮箱、彩云、移动微博、和通讯录等移动用户个人数据的访问权限。
因为统一认证，这几处的密码都是一样的，破了互联网通行证密码，其它几处应用的密码也就得到了。集中统一认证的安全没做好，影响更大。
详细说明：
用户打开 https://www.cmpassport.com/后，
使用同一用户名前几次输入错误密码都不会出现图验，只有尝试登录几次后，才会弹出图验。
如果使用多个不同的用户名且使用相同的密码登录，则一直不会弹图验，由此可进行暴力破解。效果如下：
漏洞证明：
变化手机号，不弹图验
如上图所示，如果密码错误，则返回的包中有 fail的字符串
如果登录成功，返回如下结果
此破解方法，可快速解出大量号码的如下应用，得到用户隐私数据
修复方案：
建议有效图验，防止暴力破解
防止批量一键登录其它用户，识别用户异常登录
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2014-03-12 14:54
厂商回复：
对于爆破类风险，CNVD不直接复现，已经转由CNCERT转报给中国移动集团公司，由其后续处置。
最新状态：
暂无