珍爱网注册信息泄漏之手机

漏洞详情

披露状态:

2014-03-26: 细节已通知厂商并且等待厂商处理中
2014-03-26: 厂商已经确认,细节仅向厂商公开
2014-04-05: 细节向核心白帽子及相关领域专家公开
2014-04-15: 细节向普通白帽子公开
2014-04-25: 细节向实习白帽子公开
2014-05-10: 细节向公众公开

简要描述:

珍爱网注册用户的手机号泄漏了,可以按区域获取,这下就不用麻烦红娘她们了,直接给妹子电话过去多方便啊ˉ▽ˉ,一些不起眼的小bug整合起来不容小看

详细说明:

首先获取区域已注册的手机号,过程暂略



然后随便注册个账户,作为主控账户,登录后与已注册账户强行绑定>▂<



发送验证码:register.zhenai.com/login/sendmobile.jsps?sendMobile=马赛克&d=马赛克',



然后强行绑定:POST static.zhenai.com/profile/validatePhoneByCode.jsps "tel":"马赛克" % mob, "code":"马赛克"



登录获取其ID profile.zhenai.com/login/loginactionindex.jsps



最后解除绑定关系,重复上述过程



分布式的话分秒钟的事,然后就是挑妹子了

漏洞证明:

ID/手机号

49235274 15147730007

49235274 15147730007

52969010 15043271481

52139018 13789524572

51816299 15043279735

48321884 15147734005

51475646 13537974799

46570895 13316922229

50389021 15991270120

53917250 13840585265

53475046 13950118865

46869863 15965714613

51384182 15965718325

...

管理员请打马赛克,下来的数据没几个不用担心

修复方案:

版权声明:转载请注明来源 sadn3s@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2014-03-26 20:04

厂商回复:

网站的漏洞,已经修复,安全无小事,谢谢

最新状态:

暂无


漏洞评价: