漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0155425
漏洞标题：i3ank第三方银行任意用户手机密码重置
相关厂商：第三方互联网金融服务有限公司
漏洞作者： Moonbow
提交时间：2015-11-24 15:49
修复时间：2016-01-11 15:32
公开时间：2016-01-11 15:32
漏洞类型：系统/服务运维配置不当
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-11-24： 积极联系厂商并且等待厂商认领中，细节不对外公开
2016-01-11： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
第三方互联网金融服务股份有限公司是广东省青联委员、广东省“领航100计划”亿元企业共同出资发起成立的创新型互联网金融企业。公司在深圳前海注册，实缴注册资金5000万元，公司运营中心设立在广州珠江新城CBD。旗下第三方银行（www.3-bank.com）不是一般的P2P，也不是传统银行，不代表银行、保险、证券、信托等金融机构，而是站在第三方的立场，基于P2F2B创新运营模式，通过互联网+、云计算、大数据等技术手段，为普通大众提供智慧理财和私人银行服务，为广大中小企业提供一站式放心金融服务。
详细说明：
已爆破出投资排行榜第一名用户手机号码
胆子小 不敢登 拿自己的手机号做验证 懒得打马 别骚扰我。。。
排名 用户 累计投资金额
1 186****9097 ￥2501000.0
弱弱的求个礼物~~~~
漏洞证明：
找回密码界面
密码已更改成1314521
发送验证码 开始爆破
ok
登陆成功 还可以提现的说
投资排行榜第一名手机号
修复方案：
不懂
版权声明：转载请注明来源 Moonbow@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝