支付宝客户资金部帐号随机登录(莫名登录)

漏洞详情

披露状态:

2014-02-25: 细节已通知厂商并且等待厂商处理中
2014-02-28: 厂商已经确认,细节仅向厂商公开
2014-03-10: 细节向核心白帽子及相关领域专家公开
2014-03-20: 细节向普通白帽子公开
2014-03-30: 细节向实习白帽子公开
2014-04-11: 细节向公众公开

简要描述:

详细说明:

kehuzijinbu024@alipay.com kehuzijinbu012@alipay.com kehuzijinbu015@alipay.com 客户资金部

昨晚在测试http://www.xiangshe.com/ 这个购物网站的时候,偶然发现了一个奇怪的东西。在充值处填入负的金额 选择支付宝充值时会出现充值错误

如图:

7.jpg





8.jpg



出现代码错误,很正常。无聊中,我一直在点充值,奇迹的时刻到了

看下图,莫名的登上了一个kehuzijinbu024@alipay.com 名叫客户资金部的帐号,而且余额巨大。很奇怪对吧,我也觉得奇怪。我退出帐号之后,重新充值,又没了,反复充值,又登上了,而且不是同一个。顿时感觉应该是个洞。 但是产生原因不明,忘支付宝自行解答。猜算应该是个逻辑问题

6.jpg



5.jpg



2.jpg



1.jpg

漏洞证明:

见上

修复方案:

美国人懂

版权声明:转载请注明来源 兔子@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:4

确认时间:2014-02-28 15:40

厂商回复:

中间账户是网关支付的一个正常业务过程,不影响用户资金信息安全,谢谢您对支付宝安全的关注!

最新状态:

暂无


漏洞评价: