漏洞详情

披露状态:

2013-12-31: 细节已通知厂商并且等待厂商处理中
2013-12-31: 厂商主动忽略漏洞,细节向第三方安全合作伙伴开放
2014-03-28: 细节向公众公开

简要描述:

百度Android端某应用设计不当造成存在可免验证码无限尝试百度用户的密码的端口

详细说明:

百度输入法安卓客户端登录处风控机制不合理,可免验证码无限尝试用户密码。(例如版本V4.0.5.20)且该端口未发现任何风控机制。

漏洞证明:

QQ截图20131231001201.jpg

该端口部分抓包数据。user为用户名,pass为密码(加密方式同百度其他应用,这里不公开了)。该端口无验证码机制和帐号冻结机制,某些用户可以轻松利用该端口制作软件,达到大量挖掘用户弱密码盗取帐号的目的。

修复方案:

当某一帐号短时间内密码被多次尝试,暂时予以冻结。

版权声明:转载请注明来源 浅音@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2013-12-31 10:58

厂商回复:

非常感谢您的提交,不过我们的帐号风控不仅仅是依赖于验证码,其实针对其他维度也存在相应的策略;在百度输入法这个口上,虽然由于历史问题不存在验证码校验,但是有着其他的保护的。
再次感谢您的提交,如果发现可补充的case,欢迎再次提交,非常感谢

最新状态:

暂无


漏洞评价: