漏洞详情

披露状态:

2014-04-01: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-05-16: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

海魔方热点认证时,需要提供手机号码收取验证码,但因为设计问题,导致此验证码泄漏。

详细说明:

只要打开浏览器的开发者模式,点击获取验证码,就可以在网络交互中看到服务器返回的JSON,其中就包含验证码,手机号码随意收入都可以完成验证。

1.png



2.png

3.png

漏洞证明:

收入收到的JSON中的验证码,正常跳转。

2.png

3.png

修复方案:

加密或在发送验证码后保存在session中,而不是传给客户端。

版权声明:转载请注明来源 WyMM.·っ@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价: