新网某代理商平台部分用户密码泄漏及支付消费风险

漏洞详情

披露状态:

2014-04-08: 细节已通知厂商并且等待厂商处理中
2014-04-08: 厂商已经确认,细节仅向厂商公开
2014-04-18: 细节向核心白帽子及相关领域专家公开
2014-04-28: 细节向普通白帽子公开
2014-05-08: 细节向实习白帽子公开
2014-05-23: 细节向公众公开

简要描述:

代理商平台存在支付缺陷 不需要(密码验证)即可消费。
发现一百二十万的账户,提现发财了= =

详细说明:

说好了不聊群里聊漏洞的,说好了,休息会儿的!手抽筋啊 !手贱啊!

还是进入代理商平台了!

WooYun: 新网某运营平台存在弱口令(部分域名解析、空间等安全)

都是店小二惹得祸,

(调侃下 请记住我是xinnet的店小二,请记住我的密码是123456)

……

此处省略,一百二十万的账户,提现发财了= =



1.jpg



http://agent.xinnet.com/index.do?method=index

提供一个账号agent36416 代理密码:123456qq 公开请删除!

QQ图片20140406175522.jpg

QQ图片20140406175545.jpg

QQ图片20140406174925.jpg

3.jpg

2.jpg

漏洞证明:

QQ图片20140406175522.jpg

QQ图片20140406175545.jpg

QQ图片20140406174925.jpg

3.jpg

2.jpg

修复方案:

1、会员模板资料资料提交里 有多个注入点



2、会员消费 没有验证机制!无论金额多大,消费多少,消费何种产品,缺乏验证机制!直接消费。



3、域名 解析的密码 ,邮局登陆的密码,均可直接设置,缺乏验证机制!



任何平台只要涉及到支付交易,就应该有验证机制。



4、平台中填写的个人敏感信息应该做隐藏处理

版权声明:转载请注明来源 不痛不痒@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2014-04-08 10:57

厂商回复:

漏洞已收到,正在玩命确认及修复中,多谢不痛不痒@乌云。

最新状态:

暂无


漏洞评价: