漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-087770
漏洞标题：7天在已知会员姓名和身份证号但密码未知时的信息人工修改漏洞
相关厂商：7天连锁酒店
漏洞作者： 路人甲
提交时间：2014-12-19 10:17
修复时间：2015-02-02 10:18
公开时间：2015-02-02 10:18
漏洞类型：账户体系控制不严
危害等级：低
自评Rank：1
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-19： 细节已通知厂商并且等待厂商处理中
2014-12-19： 厂商已经确认，细节仅向厂商公开
2014-12-29： 细节向核心白帽子及相关领域专家公开
2015-01-08： 细节向普通白帽子公开
2015-01-18： 细节向实习白帽子公开
2015-02-02： 细节向公众公开
简要描述：
描述一个自己使用的重置7天会员手机号的方法，同理可以更改其他信息。而且手机号可以用来登陆账号。
漏洞没有任何技术含量，但是我觉得必须要提醒7天要重视对客服人员的培训，任何好的制度，操作人员的安全意识不到位，也就只能形同虚设。
详细说明：
铂涛会登陆地址： http://www.plateno.com/
忘记了密码，而且手机号码已变更。已知身份证号码和姓名。
使用官网提到的微信客服的方法修改用户信息。
七天规定：需要使用身份证件照片及照片持有人的合照发送到微信客服才可以更改会员信息。个人认为这个制度是很好的，有效的杜绝了伪造身份证信息。但是 客服并没有严格执行该规定，这也就给别有用心的人以可乘之机。
我使用了 身份证复印件生成器 这个软件，在已知 姓名和身份证号时 伪造了会员的身份证扫描信息。效果如下图：
按照官网指引，关注“铂涛会”官方微信，发送 修改资料 ..... 过程如下注意这里我使用的是不正确的地址信息，正确的只有姓名和身份证号：
漏洞证明：
手机号可以说是7天会员体系里比较重要的一个信息了，当被更改时，是可以登录账号且修改密码的,如果客户的账户里有现金或者大量积分的话很容易被滥用以及造成信息泄露。
修复方案：
请你们提醒下客服部的同事，我们普通用户的信息需要得到保障,所以请他们严格遵守规则对客户信息进行操作。请别告诉我，会员身份证和姓名是个人隐私，泄露要由会员承担责任，毕竟还有123*6不是吗。
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：3
确认时间：2014-12-19 17:50
厂商回复：
已通知客服部门加强审核，谢谢。
最新状态：
暂无