漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0139750
漏洞标题：格瓦拉漏洞之我是如何用我的微博去绑定任意其他用户的
相关厂商：格瓦拉
漏洞作者： 163dotcom
提交时间：2015-09-08 16:21
修复时间：2015-09-13 16:22
公开时间：2015-09-13 16:22
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：18
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-09-08： 细节已通知厂商并且等待厂商处理中
2015-09-13： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
通过QQ、微博等方式登录后，可绑定任意已注册的手机用户。绑定后，依然用自己的QQ或微博账号登录，然后便拥有手机用户的权限。
简言之，等于盗取账号。
而原手机用户的密码不变，几乎察觉不到账号已经被其他人所使用。
详细说明：
首先用微博登录，可以看到我的邮箱是*****@sina.com
（话说现在注册微博账号也容易多了，不一定需要手机认证，而采用了识别大v头像的验证方式，因此，申请多个微博账号来“做坏事”也不艰难）
来到安全中心，绑定手机，比如输入土豪号码13888888888，点获取验证码（一定要先获取），动态码随便填，然后点“完成绑定”：
不理页面有什么提示，立即退出，再用微博账号重新登录，已绑定成功了：
通过QQ登录的也有相同的问题。估计用其它账号登录也一样有漏洞。前提条件：
1）手机号已注册格瓦拉；
2）手机号未绑定过QQ或微博等；
漏洞证明：
见详细说明
修复方案：
增强短信动态码验证的后台逻辑。
来两张电影票呗 周末的, 可惜我是神秘的路人甲 只能留邮箱了 邮箱evils110@126.com
版权声明：转载请注明来源 163dotcom@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-09-13 16:22
厂商回复：
漏洞Rank：4 (WooYun评价)
最新状态：
暂无