神刀安全网

漏洞标题: 11对战平台用户身份证信息遍历&用户密码重置

漏洞详情

披露状态:

2016-03-16: 细节已通知厂商并且等待厂商处理中
2016-03-18: 厂商已经确认,细节仅向厂商公开
2016-03-18: 厂商已经修复漏洞并主动公开,细节向公众公开

简要描述:

详细说明:

嗨妖妖APP:

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

登录,抓包,如下接口,返回用户身份证信息,手机号等:

code 区域
http://api.5211game.com/YYMEPassport/Simulator

可遍历UserId:

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

431691388:

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

431691389:

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

431691400:

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

平台上找几个知名解说的ID:

情书:高手坟墓灬

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

大酒神:wusheng75

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

狗头神教牛蛙:super_5

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

漏洞证明:

再来看看找回密码:

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

接口,短信验证码直接回显:

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

可重置任意已经绑定了手机号码的账号。

上述方法重置“高手坟墓灬”,并成功登录(书神,抱歉了~):

漏洞标题:  11对战平台用户身份证信息遍历&用户密码重置

修复方案:

版权声明:转载请注明来源 路人甲@乌云

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » 漏洞标题: 11对战平台用户身份证信息遍历&用户密码重置

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址
分享按钮