当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0139750

漏洞标题:格瓦拉漏洞之我是如何用我的微博去绑定任意其他用户的

相关厂商:格瓦拉

漏洞作者: 163dotcom

提交时间:2015-09-08 16:21

修复时间:2015-09-13 16:22

公开时间:2015-09-13 16:22

漏洞类型:未授权访问/权限绕过

危害等级:高

自评Rank:18

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-09-08: 细节已通知厂商并且等待厂商处理中
2015-09-13: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

通过QQ、微博等方式登录后,可绑定任意已注册的手机用户。绑定后,依然用自己的QQ或微博账号登录,然后便拥有手机用户的权限。
简言之,等于盗取账号。
而原手机用户的密码不变,几乎察觉不到账号已经被其他人所使用。

详细说明:

首先用微博登录,可以看到我的邮箱是*****@sina.com
(话说现在注册微博账号也容易多了,不一定需要手机认证,而采用了识别大v头像的验证方式,因此,申请多个微博账号来“做坏事”也不艰难)

QQ浏览器截屏未命名.png


来到安全中心,绑定手机,比如输入土豪号码13888888888,点获取验证码(一定要先获取),动态码随便填,然后点“完成绑定”:

QQ浏览器截屏未命名.png


不理页面有什么提示,立即退出,再用微博账号重新登录,已绑定成功了:

QQ浏览器截屏未命名.png


通过QQ登录的也有相同的问题。估计用其它账号登录也一样有漏洞。前提条件:
1)手机号已注册格瓦拉;
2)手机号未绑定过QQ或微博等;

漏洞证明:

见详细说明

修复方案:

增强短信动态码验证的后台逻辑。
来两张电影票呗 周末的, 可惜我是神秘的路人甲 只能留邮箱了 邮箱evils110@126.com

版权声明:转载请注明来源 163dotcom@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-09-13 16:22

厂商回复:

漏洞Rank:4 (WooYun评价)

最新状态:

暂无