漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0157034
漏洞标题：利用业务流程漏洞找回密码\账号\重新绑定（QQ\支付宝\京东\微信）
相关厂商：支付宝
漏洞作者： 路人甲
提交时间：2015-11-30 16:56
修复时间：2015-12-26 16:56
公开时间：2015-12-26 16:56
漏洞类型：重要资料/文档外泄
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-11-30： 细节已通知厂商并且等待厂商处理中
2015-12-04： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2016-01-28： 细节向核心白帽子及相关领域专家公开
2016-02-07： 细节向普通白帽子公开
2016-02-17： 细节向实习白帽子公开
2015-12-26： 细节向公众公开
简要描述：
目前市面很多应用(如QQ\支付宝\京东\微信）均依赖于手机号码单因子验证，未做多层次校验，一旦手机号码弃用或被他人补办，在找回应用密码过程中，只信赖于手机验证码（无个人身份信息验证或其他多因素验证方法），将会导致多应用被窃取，危机个人信息安全、资金安全、隐私等等
详细说明：
目前市面很多应用(如QQ\支付宝\京东\微信）均依赖于手机号码单因子验证，未做多层次校验，一旦手机号码弃用或被他人补办，在找回应用密码过程中，只信赖于手机验证码（无个人身份信息验证或其他多因素验证方法），将会导致多应用被窃取，危机个人信息安全、资金安全、隐私等等
一、以QQ为例
QQ在找回密码过程中只信赖于手机号码验证码方式，顾一旦手机号码弃用，被人申请之前的手机号码，将会直接可以控制之前的QQ号码。
二、支付宝为例：
支付宝同样
三、京东
四、微信
同理
淘宝在找回密码过程中就采用了多因子找回方式，如图
如选择方式二找回，他会要你快捷银行卡号确认（多因子找回）
其他应用均可以效仿淘宝找回方式
漏洞证明：
淘宝在找回密码过程中就采用了多因子找回方式，如图
如选择方式二找回，他会要你快捷银行卡号确认（多因子找回）
其他应用均可以效仿淘宝找回方式
修复方案：
因修改验证流程，支付宝实名身份号全加密
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-12-26 16:56
厂商回复：
单因子验证不涉及直接利用风险,暂不认为是直接漏洞.
最新状态：
暂无