漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0115947
漏洞标题：淘宝客户端某漏洞导致可以大规模钓鱼获取淘宝账号
相关厂商：淘宝网
漏洞作者： 鸟云厂商
提交时间：2015-05-26 11:25
修复时间：2015-08-24 14:02
公开时间：2015-08-24 14:02
漏洞类型：设计错误/逻辑缺陷
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-26： 细节已通知厂商并且等待厂商处理中
2015-05-26： 厂商已经确认，细节仅向厂商公开
2015-05-29： 细节向第三方安全合作伙伴开放
2015-07-20： 细节向核心白帽子及相关领域专家公开
2015-07-30： 细节向普通白帽子公开
2015-08-09： 细节向实习白帽子公开
2015-08-24： 细节向公众公开
简要描述：
淘宝客户端某漏洞导致可以大规模钓鱼获取淘宝账号
详细说明：
昨晚睡不着，躺床上玩手机的时候研究了一下IOS移动端的伪协议
发现淘宝客户端存在一些问题
基础协议是：
由于淘宝客户端的设计，导致可以在后面加URL打开任意网站
但是APP做了正则匹配，对于不在白名单中的URL，会跳出提示
例如：
俗话说得好，有正则的地方必有绕过
一番尝试，发现确实可以绕过这个限制
只要是这种格式的域名并且“**”为某个域名后缀就可以，“**”为其他英文字符的则无法绕过限制
可以绕过的比如
前两个已经有人在用了
于是我注册了org-taobao.com
============================================================
这里可以进行钓鱼了，做一个高仿的手机淘宝网登陆页面放在org-taobao.com上即可
打开页面后，输入用户名密码，点击登陆，用户名密码自动记录到数据库
甚至可以在点击后提示：您的淘宝账号存在风险请申诉之类的，然后要求填各种信息。
可能有人会问：谁会没事去点一个伪协议链接呢
所以我做了这个页面：http://121.40.126.244/
当然，恶意攻击者可以把跳转代码放在其他站点中，或者发在微博上。
接下来是演示视频
漏洞证明：
修复方案：
版权声明：转载请注明来源 鸟云厂商@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2015-05-26 14:01
厂商回复：
亲，该漏洞我们已经在处理，感谢您对阿里巴巴安全的关注和支持。
最新状态：
暂无