漏洞详情

披露状态:

2015-07-15: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-08-29: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

金开贷官方网站国有独资AAA级三级等保资质社会金融服务平台。2014年5月正式运营,立志于“让信任成就价值”的企业理念。陕西金融控股集团与国家开发银行陕西分行联合推出,唯一国有独资的互联网投融资平台。年化收益最高可达9.36%,四重保障,您身边最安全的P2P理财平台!

详细说明:

p2p安全之金开贷任意账号密码重置
Response验证码返回案例

漏洞证明:

找回密码处:https://www.kingkaid.com/unauth/member/findPas
选择手机号找回
测试手机号:13800138000

2345截图20150715100312.png


返回MD5加密的验证码

2345截图20150715100249.png


2345截图20150715100336.png


验证成功

2345截图20150715100404.png


获得用户名

2345截图20150715100550.png


登陆成功

修复方案:

不可以返回验证码噢.

标签: none

评论已关闭