漏洞详情

披露状态:

2014-09-18: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-11-02: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

无验证码验证功能,可以批量注册获取系统用户账号信息。

详细说明:

用户注册时,无验证码验证功能,注册时qq号唯一,如果该qq已经注册过,则提交信息后会弹出登录账号等信息。根据该原理可以批量获取用户登陆账号信息,然后采用密码123456进行尝试登陆即可。

1.jpg


漏洞证明:

注册账号,qq重复后,出现账号信息:

1.jpg


登陆系统后显示:

3.jpg


选择点击“800包房平台”
登陆账号还是同一个,点击登陆后

4.jpg


进入800平台供应商系统,在此就可以查看当前用户的所有客户开房信息。
服务的酒店有:

5.jpg


登陆进系统获取用户开房记录数据

2.jpg

修复方案:

用户注册机制修改,加入验证码功能。qq号不能作为登陆账号。qq号重复时,不要返回用户账号信息。

标签: none

评论已关闭