漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-07707
漏洞标题：支付宝跟淘宝帐号通用，用支付宝帐号， 可以查看淘宝的信息。。
相关厂商：淘宝网
漏洞作者： 断七
提交时间：2012-05-30 21:28
修复时间：2012-06-04 21:29
公开时间：2012-06-04 21:29
漏洞类型：账户体系控制不严
危害等级：低
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-05-30： 细节已通知厂商并且等待厂商处理中
2012-06-04： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
个人认为算是个安全隐患，因为支付宝帐号都是邮箱格式的，由于之前泄漏门 很容易猜出支付宝密码，很多甚至都是一样的。知道支付宝密码以后 直接切入到淘宝帐号， 得到更多信息。。
详细说明：
这是我自己社工出来的，支付宝帐号，密码，但是淘宝的密码不一样，所以直接用支付宝登陆进去，一样查看的了。进入淘宝，看到了个人买东西留下的真实信息，手机，地址，等等。。。 PS：求个注册码， 要是这个不算的话， 再爆个 淘宝分站的洞。。
漏洞证明：
这个淘宝帐号密码本来是不知道的，但是通过得到支付宝帐号密码，而得到了更多有用的个人真实信息，
修复方案：
自己看着办。
版权声明：转载请注明来源 断七@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-06-04 21:29
厂商回复：
最新状态：
暂无
漏洞评价：
评论
-
我勒个去，这个也算啊？
-
@CzBiX 的确是个问题吧，既然要求密码不一样，为什么允许访问相同的数据呢？
-
搞清楚，淘宝+支付宝是两套体系吧？
-
@xsser 这个不忽略，我名字倒过来写。103
-
@核攻击 这两个系统安全级别一致么？
( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)