漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-022009
漏洞标题：安居客可伪造任意人手机号码发布信息（非暴力验证，秒破手机验证码）
相关厂商：安居客
漏洞作者： koohik
提交时间：2013-04-17 11:29
修复时间：2013-04-22 11:29
公开时间：2013-04-22 11:29
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：15
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-04-17： 细节已通知厂商并且等待厂商处理中
2013-04-22： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
安居客可伪造任意人手机号码发布信息（非暴力验证，秒破手机验证码）
详细说明：
安居客在使用委托人发布信息的时候，需要验证联系人手机号码，这时会向联系人发送一条验证信息，不过验证信息却可以返回出来，这时联系人就可以使用任意手机号码发送信息了
漏洞证明：
修复方案：
信息不要返回，然后就是不要纯数字的
版权声明：转载请注明来源 koohik@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-04-22 11:29
厂商回复：
漏洞Rank：13 (WooYun评价)
最新状态：
2013-12-19：已修复！
漏洞评价：
评论
-
嗯，应该又是一起手机验证码设计错误案例，果然不是单独发生的
-
@koohik 有其他大型互联网企业案例么？专注互联网还存这样设计的需要预警之
-
@se55i0n @xsjswt se55i0n 你要搞赶集干嘛啊 58随便你
-
@疯子 基友只能自己去搞你说是不是
( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)