当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-022400

漏洞标题：支付宝手机客户端用户信息泄露

相关厂商：支付宝

漏洞作者： cnbird

提交时间：2013-04-23 22:06

修复时间：2013-06-07 22:07

公开时间：2013-06-07 22:07

漏洞类型：敏感信息泄露

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-04-23： 细节已通知厂商并且等待厂商处理中
2013-04-24： 厂商已经确认，细节仅向厂商公开
2013-05-04： 细节向核心白帽子及相关领域专家公开
2013-05-14： 细节向普通白帽子公开
2013-05-24： 细节向实习白帽子公开
2013-06-07： 细节向公众公开

简要描述：

支付宝手机客户端在处理用户信息时，未考虑现有安全环境状况(用户密码泄露风暴)，过于全面的展示了用户的相关信息，如被社工黑客利用，将造成严重安全风险。

详细说明：

问题发生于支付宝手机客户端的手机转账功能：

.png


将任意人的手机存入通讯录，选择对应的号码

.png


支付宝将完整输出对应手机号用户的邮箱，去除姓氏后的名字；
V的13亿密码库，给出了用户完整的邮箱对应手机身份，将是非常严重的风险。
http://taosay.net/?p=189

漏洞证明：

.png

修复方案：

将输出的用户邮箱信息，马赛克一点点。

版权声明：转载请注明来源 cnbird@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2013-04-24 15:50

厂商回复：

目前最新版的客户端已解决该问题，感谢对支付宝安全的关注。

最新状态：

暂无

漏洞评价：

评论

这些评论似乎很乌云~~~思密达
  1. 2013-04-24 16:04 | cnbird ( 普通白帽子 | Rank:547 漏洞数:46 | http://blog.csdn.net/cnbird2008)

    厂商回复：目前最新版的客户端已解决该问题，感谢对支付宝安全的关注。这个可是服务端的漏洞啊，你这在客户端解决问题完全不符合逻辑啊，给 5 RANK，下次都不好意思提了。

  1. 2013-04-23 22:15 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:134 | 多乌云、多机会!微信公众号: id:a301zls ...)

    火了。

  2. 2013-04-23 22:27 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:41 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    火了。

  3. 2013-04-23 22:30 | Coody 认证白帽子 ( 核心白帽子 | Rank:1565 漏洞数:146 | 不接单、不黑产；如遇接单收徒、绝非本人所...)

    火了。

  4. 2013-04-23 22:39 | LittlePig ( 路人 | Rank:5 漏洞数:2 | </html>)

    火了。

  5. 2013-04-23 23:23 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:125 | 如果大海能够带走我的矮丑...)

    火了。

  6. 2013-04-23 23:23 | 淡漠天空 认证白帽子 ( 实习白帽子 | Rank:1113 漏洞数:141 | M:出售GOV STATE NSA CIA NASA DHS Symant...)

    火了

  7. 2013-04-23 23:29 | Blackeagle ( 实习白帽子 | Rank:62 漏洞数:10 | 向WooYun致敬)

    火了。（楼上mjj 破了队形 拖出去毙3分钟）

  8. 2013-04-23 23:31 | 3c0de ( 路人 | Rank:5 漏洞数:2 | 專長girl injection)

    火了。

  9. 2013-04-23 23:40 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

    火了

  10. 2013-04-23 23:54 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    加精华了额~

  11. 2013-04-24 06:36 | 廷廷 ( 路人 | Rank:0 漏洞数:1 | 有很强的好奇心，爱好广泛，求女女带走。。...)

    这个还真没注意过

  12. 2013-04-24 06:43 | VIP ( 普通白帽子 | Rank:759 漏洞数:100 )

    火了

  13. 2013-04-24 07:43 | jdnehc ( 实习白帽子 | Rank:76 漏洞数:12 )

    雷劈了

  14. 2013-04-24 08:28 | wanglaojiu ( 普通白帽子 | Rank:168 漏洞数:13 | 道生一，一生二，二生三，三生万物，万物负...)

    火了

  15. 2013-04-24 08:35 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    破~专业破队形三十载。

  16. 2013-04-24 09:24 | dyun ( 普通白帽子 | Rank:102 漏洞数:15 | [code][/code])

    洞主专搞信息泄漏。。。不过每次描述都很简要呀，能不能讲下详细

  17. 2013-04-24 09:31 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:41 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    @dyun 不简要的话，怎么叫“简要描述”呢。。

  18. 2013-04-24 09:37 | Passer_by ( 实习白帽子 | Rank:97 漏洞数:21 | 问题真实存在但是影响不大（腾讯微博Passer...)

    厂商还没回应就加雷了。。必须火

  19. 2013-04-24 09:50 | abcdlzy ( 实习白帽子 | Rank:79 漏洞数:14 | 好好学习，天天向上。)

    这个必需围观啊

  20. 2013-04-24 11:33 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:170 | 力不从心)

    火了

  21. 2013-04-24 11:50 | 小威 ( 普通白帽子 | Rank:492 漏洞数:67 | 活到老，学到老!)

    火了

  22. 2013-04-24 12:24 | z@cx ( 普通白帽子 | Rank:434 漏洞数:44 | 。-。-。)

    火了。

  23. 2013-04-24 12:32 | 牛￡金钢 ( 路人 | Rank:12 漏洞数:4 | 我是新手，还需要学习，大神们要指点下了.....)

    火了

  24. 2013-04-24 13:40 | shack2 ( 普通白帽子 | Rank:470 漏洞数:71 | QQ:1341413415 一个热爱编程(Java),热爱网...)

    顶一个，鸟哥

  25. 2013-04-24 14:33 | x1aoh4i ( 普通白帽子 | Rank:403 漏洞数:62 )

    火了

  26. 2013-04-24 15:02 | 萧璃别 ( 路人 | Rank:20 漏洞数:2 | http://t.qq.com/lsxiaolibie)

    火了

  27. 2013-04-24 15:40 | x1aoh4i ( 普通白帽子 | Rank:403 漏洞数:62 )

    @鬼魅羊羔 简要描述就是描述的简要

  28. 2013-04-24 15:40 | x1aoh4i ( 普通白帽子 | Rank:403 漏洞数:62 )

    @鬼魅羊羔 简要描述就是描述的简要

  29. 2013-04-24 16:04 | cnbird ( 普通白帽子 | Rank:547 漏洞数:46 | http://blog.csdn.net/cnbird2008)

    厂商回复：目前最新版的客户端已解决该问题，感谢对支付宝安全的关注。这个可是服务端的漏洞啊，你这在客户端解决问题完全不符合逻辑啊，给 5 RANK，下次都不好意思提了。

  30. 2013-04-24 16:11 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @cnbird 嗯，漏洞重点是有API可以查询到用户敏感信息的，客户端只能说是数据的获取与查询限制不当，但不是问题的根本，现在服务端API的问题解没解决还不知道啥情况列～

  31. 2013-04-24 16:37 | orpheus ( 路人 | Rank:10 漏洞数:1 )

    支付宝手机客户端在处理用户信息时，未考虑现有安全环境状况；貌似洞主描述的也是客户端处理问题，额。没见详细描述,不好评价

  32. 2013-04-24 16:39 | cnbird ( 普通白帽子 | Rank:547 漏洞数:46 | http://blog.csdn.net/cnbird2008)

    @orpheus 从服务器取数据，然后回显到客户端的信息。

  33. 2013-04-24 16:40 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:134 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @cnbird 鸟真可怜，想开点吧，支付宝我也没看到开过高rank。

  34. 2013-04-24 21:51 | feng ( 普通白帽子 | Rank:664 漏洞数:70 | 想刷个6D)

    @cnbird 你这是戳到了支付宝的痛处，这样一个需要安全形象的厂商怎么可能轻易承认自己安全有问题。如果这样的话，岂不是会影响到用户群

  35. 2013-04-25 08:49 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:170 | 力不从心)

    支付宝的脸被鸟哥丢尽了，他们必须给你低点啊！

  36. 2013-04-25 09:10 | HRay ( 普通白帽子 | Rank:196 漏洞数:28 | 018)

    @cnbird 新版的客户端换了一个接口，我是这么理解的。。

  37. 2013-05-14 14:19 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    @疯狗 @cnbird 一种可能，服务器api可能被大量运用在不同的客户端甚至是内部业务，导致修改成本过高或不可控。所以，api究竟要分几层值得思考...

  38. 2013-06-08 11:29 | clzzy ( 普通白帽子 | Rank:176 漏洞数:18 )

    撸过撸过撸过

  39. 2013-09-03 10:37 | 过客 ( 实习白帽子 | Rank:42 漏洞数:13 )

    支付宝终于开始处理这类漏洞了，12 年的时候还不承认呢http://wooyun.org/bugs/wooyun-2010-04715