漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2015-092931
漏洞标题:易通贷某处设置不当可任意修改用户资金密码
相关厂商:etongdai.com
漏洞作者: 忽然之间
提交时间:2015-01-22 10:57
修复时间:2015-03-08 10:58
公开时间:2015-03-08 10:58
漏洞类型:账户体系控制不严
危害等级:高
自评Rank:15
漏洞状态:厂商已经确认
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2015-01-22: 细节已通知厂商并且等待厂商处理中
2015-01-23: 厂商已经确认,细节仅向厂商公开
2015-02-02: 细节向核心白帽子及相关领域专家公开
2015-02-12: 细节向普通白帽子公开
2015-02-22: 细节向实习白帽子公开
2015-03-08: 细节向公众公开
简要描述:
易通贷某处设置不当可任意修改用户资金密码
详细说明:
1 易通贷可绕过已绑定手机验证码,修改用户资金密码
2 任意解除手机绑定,绑定成自己手机号
漏洞证明:
1 绕过已绑定手机号,修改资金密码
修改资金密码,手机号填写自己的手机号,输入自己手机收到的验证码
提交已进入资金密码修改页面,并修改成功
2 解绑手机号,并绑定自己手机
点击后去验证码,拦截请求,修改成自己手机号
输入自己收到的验证码,提交,解除绑定
然后就可以绑定自己手机号了
修复方案:
服务端做好验证
版权声明:转载请注明来源 忽然之间@乌云
漏洞回应
厂商回应:
危害等级:中
漏洞Rank:10
确认时间:2015-01-23 17:46
厂商回复:
感谢对此漏洞的发现工作。经过内部分析对已知问题复现,只有在用户已登录情况下,可以通过极少数第三方工具对本人已绑定手机修改,从而修改为新绑定手机。
该漏洞利用条件有特定限制(只有在客户自行登录情形下),难度系数高。我们在得到该漏洞信息后2小时内,修复该漏洞代码,并更新,经调查无一用户受影响。
最新状态:
暂无