漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0150413
漏洞标题：新世界影城某处设计缺陷（可查看姓名、身份证号、手机号、观影记录，通过账户内余额免费看电影）
相关厂商：新世界影城
漏洞作者： zuoa
提交时间：2015-10-30 14:18
修复时间：2015-12-19 14:14
公开时间：2015-12-19 14:14
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-10-30： 细节已通知厂商并且等待厂商处理中
2015-11-04： 厂商已经确认，细节仅向厂商公开
2015-11-14： 细节向核心白帽子及相关领域专家公开
2015-11-24： 细节向普通白帽子公开
2015-12-04： 细节向实习白帽子公开
2015-12-19： 细节向公众公开
简要描述：
新世界影城某处设计缺陷（可查看姓名、身份证号、手机号、观影记录，通过账户内余额免费看电影）
详细说明：
好久没看电影，心里痒痒，登录附近的一个影院网站随便看看有啥好看的电影
看到会员中心入口：
http://**.**.**.**/faces/pages/ticketMain.xhtml
用Google图片搜索了下会员卡号是怎样的
https://**.**.**.**/search?newwindow=1&hl=zh-CN&site=imghp&tbm=isch&sa=1&q=新世界影城+会员卡&oq=新世界影城+会员卡
找到一张别人晒出来的会员卡
卡号看样子是“13” + 6位数字，后面的数字应该是可遍历的
会员中心登录没有验证码，拿构造的会员卡号 + top10弱口令，扫了几百个号，就拿到了几十个可登录的，登录后，可看到姓名、身份证号、手机号、观影记录，可修改密码，更可在线直接购票，看这数量和余额，以后要想着看电影肯定是不用花钱了
漏洞证明：
13000153 123456
13000289 123456
13000196 123456
13000700 123456
13000083 123456
13000689 123456
13000050 123456
13000132 123456
13000220 123456
13000072 123456
13000657 123456
13000175 123456
13000563 123456
13000029 123456
13000090 123456
修复方案：
加个验证码吧
版权声明：转载请注明来源 zuoa@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2015-11-04 14:13
厂商回复：
暂未建立与网站管理单位的直接处置渠道，待认领。
最新状态：
暂无