漏洞详情

披露状态:

2014-09-25: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-11-09: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

工资详情,开户信息,快递业务

详细说明:

登陆后3g.k800.cn注册个账号,
访问此链接
http://3g.***.cn/mb_msgTransmit.asp?msgid=0890000
区间
http://3g.***.cn/mb_msgTransmit.asp?msgid=1897873
msgid可替换 很多很多
1897873-0890000>100W
不低于100W条短信,涉及各种隐私,包括工资详情,开户信息,快递业务

漏洞证明:

QQ截图20140925115829.jpg


QQ截图20140925115022.jpg


QQ截图20140925114713.jpg


通过短信内容可找回管理,估计已被不法分子利用

QQ截图20140925152011.jpg

修复方案:

权限验证

标签: none

评论已关闭