电商普及型安全-佳品网扫号篇及一处设计不当

漏洞详情

披露状态:

2014-02-18: 细节已通知厂商并且等待厂商处理中
2014-02-18: 厂商已经确认,细节仅向厂商公开
2014-02-28: 细节向核心白帽子及相关领域专家公开
2014-03-10: 细节向普通白帽子公开
2014-03-20: 细节向实习白帽子公开
2014-04-04: 细节向公众公开

简要描述:

扫号扫号,最近搜索引擎也很火,一个小缺陷

详细说明:

1 搜索引擎搜录重置密码链接,链接未无失效时间,无使用次数



201.jpg





202.jpg





203.jpg





漏洞证明:

2 m.jiapin.com登陆无验证码可扫号



主站有强计算方式验证码,但是wap没有



具体扫了多少账号我就不公布了,我只是测试,对网站数据没兴趣



204.jpg





205.jpg





206.jpg





207.jpg





修复方案:

1 重置密码链接限制使用一次且有失效时间

2 wap加验证码,1次失效,服务端验证

版权声明:转载请注明来源 小胖胖要减肥@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2014-02-18 16:24

厂商回复:

非常感谢,我们已积极处理中,请再次关注佳品网,请私信地址,方便我们邮寄礼物。

最新状态:

2014-02-18:礼物已发出,请确认,再次感谢,希望更多关注佳品网!

2014-02-19:已经修复,感谢,请再次关注佳品网


漏洞评价: