漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-025245
漏洞标题：139邮箱图验证码绕过漏洞（目前图形验证码的可预测案例）
相关厂商：139移动互联
漏洞作者： bl4de
提交时间：2013-06-06 11:25
修复时间：2013-06-11 11:26
公开时间：2013-06-11 11:26
漏洞类型：未授权访问/权限绕过
危害等级：低
自评Rank：1
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-06-06： 细节已通知厂商并且等待厂商处理中
2013-06-11： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
图验经常用于保护关键功能，防止程序自动化攻击。139邮箱图验可轻易绕过，失去防护作用
详细说明：
139邮箱图验应用于多处，都是同一套图验。以上面注册页面中出现的图验为例，可使用简单方法绕过
如上图，不用看图验内容，直接输入1.2.3.4或字母a,b,c,d任意一个，上图以 c为例，第一次输入后提交，会出现图验错误提示
抓包显示结果如上图所示，出现错误提示
此时不管错误提示，仍然以固定值 c 继续提交，大多时只要几次即可成功，进入下一步页面
此时抓包显示成功信息
同样，其它多处地方使用的图验，都可以使用同样方法绕过。大多只需要发送请求几次即可绕过
漏洞证明：
同上
手工证明，可直接在http://mail.10086.cn/webmail/reg/index.html
输入 c，或数字 2或 3什么的，不用管错误提示
重复提交固定值，只需要几次即可绕过
最近会持续提交一些，希望能有邀请码
修复方案：
你们更专业，我的办法就不多说了
版权声明：转载请注明来源 bl4de@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-06-11 11:26
厂商回复：
最新状态：
暂无