漏洞详情

披露状态:

2014-09-23: 细节已通知厂商并且等待厂商处理中
2014-09-28: 厂商已经确认,细节仅向厂商公开
2014-10-08: 细节向核心白帽子及相关领域专家公开
2014-10-18: 细节向普通白帽子公开
2014-10-28: 细节向实习白帽子公开
2014-11-07: 细节向公众公开

简要描述:

中国电信某省网上营业厅用户信息泄漏(订单、姓名、地址、号码、邮件)

详细说明:

1、baidu搜索:site:189.cn inurl:order 订单号 地址 订单详情

中国电信云南用户订单信息泄漏1_20140923.jpg


2、发现云南电信网上营业厅用户订单详细信息可被非授权访问

中国电信云南用户订单信息泄漏2_20140923.jpg


中国电信云南用户订单信息泄漏3_20140923.jpg

漏洞证明:

3、查看云南电信网上营业厅的订单查询条件,发现只要有手机号码、日期即可查询

中国电信云南用户订单信息泄漏4_20140923.jpg


4、抽1个号码验证下,果然只要有号码就可查询

中国电信云南用户订单信息泄漏5_20140923.jpg


5、同时,也没有图片码等防暴力破解的机制,如果按号段来批量查询,可能导致大量用户信息泄漏

修复方案:

1、增加订单查询条件,如订单号+号码、身份证号+号码、姓名+号码等组合方式
2、增加随机图片码防止批量获取

标签: none

评论已关闭