当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-04715

漏洞标题：支付宝的2b安全策略

相关厂商：阿里巴巴

漏洞作者： 路人甲

提交时间：2012-02-22 16:10

修复时间：2012-02-23 13:56

公开时间：2012-02-23 13:56

漏洞类型：设计缺陷/逻辑错误

危害等级：低

自评Rank：1

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-02-22： 细节已通知厂商并且等待厂商处理中
2012-02-23： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

支付宝付款获取对方完整姓名
，类似http://www.wooyun.org/bugs/wooyun-2010-04600，无需转账完成

详细说明：

点击我要付款，输入对方帐号后，名字第一个是星号


进入下一步，第一个字还是星号，确认信息并付款……
见证2b的时刻到了


全名出来了，要隐藏你就一直藏着啊，半道突然冒出来了，至此我已经吐槽无力了

漏洞证明：

见详细说明。忽略不忽略随便。

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2012-02-23 13:56

厂商回复：

谢谢路人甲对我们阿里巴巴的一贯支持～

最新状态：

暂无

漏洞评价：

评论

  1. 2012-02-22 16:57 | 梦想肥羊 ( 实习白帽子 | Rank:89 漏洞数:18 | 博客：dnswalk.blog.163.com)

    难不成是担保交易？~~~~~~~

  2. 2012-02-22 17:00 | 梦想肥羊 ( 实习白帽子 | Rank:89 漏洞数:18 | 博客：dnswalk.blog.163.com)

    向对方发起担保收款或者付款~但没有进行下一步操作~~在交易记录那里查看，也能发现全名~~

  3. 2012-02-22 18:52 | popok ( 普通白帽子 | Rank:117 漏洞数:24 | nothing)

    要这么说银行汇款还要知道对方姓名，也算安全策略问题？

  4. 2012-02-22 18:58 | 梦想肥羊 ( 实习白帽子 | Rank:89 漏洞数:18 | 博客：dnswalk.blog.163.com)

    和银行有点小差别吧……银行最多就是卡号和名字……而支付宝是名字和联系方式（邮箱或电话）…… 可以改成未完成付款时用＊代替姓氏，完成付款后才显示全部……

  5. 2012-02-23 10:06 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    这个简单啊。还有人提交。无语

  6. 2012-02-23 15:12 | baifeng ( 路人 | Rank:0 漏洞数:1 | 做人如果没有梦想，那和咸鱼有什么区别！)

    这个前后已经有好多人都提交过了。

  7. 2012-02-23 15:50 | p.z 认证白帽子 ( 普通白帽子 | Rank:411 漏洞数:40 )

    厂商回复很幽默

  8. 2012-02-23 18:48 | popok ( 普通白帽子 | Rank:117 漏洞数:24 | nothing)

    @p.z 这是真不知道路人甲还是装的呢？

  9. 2012-02-24 14:35 | Blackeagle ( 实习白帽子 | Rank:62 漏洞数:10 | 向WooYun致敬)

    姓屏蔽了，名字流出来了。个人建议显示姓，隐藏名字。

  10. 2012-02-24 21:29 | Frankie ( 路人 | Rank:10 漏洞数:1 | 你存在,我的代码里...Line 0://你)

    貌似是乌云官方一些人在用.见到东就发,公共帐号........

  11. 2012-02-25 01:24 | popok ( 普通白帽子 | Rank:117 漏洞数:24 | nothing)

    @Blackeagle 同姓的概率太大！！用来确认交易对象不妥