漏洞概要
关注数(24)
关注此漏洞
漏洞标题：365地产家居网主站奇葩验证码导致可撞库用户（成功账号证明）
提交时间：2016-04-30 14:24
修复时间：2016-05-09 09:00
公开时间：2016-05-09 09:00
漏洞类型：设计缺陷/逻辑错误
危害等级：低
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
Tags标签：
无
漏洞详情
披露状态：
2016-04-30： 细节已通知厂商并且等待厂商处理中
2016-05-09： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
365地产家居网主站奇葩验证码导致可撞库用户（成功账号证明）
详细说明：
http://passport.house365.com/?city=nj&app=default&act=login主站登陆的地方有验证码
然后抓包发现用户名密码明文传输在数据包中
试试验证码能不能绕过，抓着包带到Repeater下发现没有文字回显
只能放开包查看了，放开包后发现提示手机号码密码有误，然后不抓包状态下点击登陆发现验证码一直不会变，这奇葩验证码。。然后就撞库，发现成功
成功账号证明：
漏洞证明：
http://passport.house365.com/?city=nj&app=default&act=login主站登陆的地方有验证码
然后抓包发现用户名密码明文传输在数据包中
试试验证码能不能绕过，抓着包带到Repeater下发现没有文字回显
只能放开包查看了，放开包后发现提示手机号码密码有误，然后不抓包状态下点击登陆发现验证码一直不会变，这奇葩验证码。。然后就撞库，发现成功
成功账号证明：
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2016-05-09 09:00
厂商回复：
最新状态：
暂无
