当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-034344

漏洞标题:移动139邮箱伪造发信地址

相关厂商:中国移动

漏洞作者: poach

提交时间:2013-08-15 10:23

修复时间:2013-09-29 10:24

公开时间:2013-09-29 10:24

漏洞类型:钓鱼欺诈信息

危害等级:中

自评Rank:7

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-08-15: 细节已通知厂商并且等待厂商处理中
2013-08-19: 厂商已经确认,细节仅向厂商公开
2013-08-29: 细节向核心白帽子及相关领域专家公开
2013-09-08: 细节向普通白帽子公开
2013-09-18: 细节向实习白帽子公开
2013-09-29: 细节向公众公开

简要描述:

通过伪造中国移动系统信箱,对手机发送Email,系统未做短信提醒限时导致短信轰炸,而且发送的内容可被恶意钓鱼,而且每次的系统发过来手机号不一样,安全类软件显示无法拦截。

详细说明:

通过伪造中国移动139邮箱10086@chinamobile.com系统信箱
(当然、可以伪造为省、地方移动信箱比如陕西移动:10086@sn.chinamobile.com)
对手机发送Email,系统未做短信提醒限时导致短信轰炸,而且发送的内容可被恶意钓鱼.
而且每次的系统发过来手机号不一样,安全类软件显示无法拦截。

1111.jpg


(上图:伪造中国系统信箱,对手机发送Email)

222.png


(我网速不太好,就随意的猛戳了4、5下,基本上时间间隔不断的短信过来。自己可以抓包提交等方法实现批量短信轰炸,你们比我高、您们懂得)

333.png


(上图:为系统发过来过来的短信提醒内容)

444.jpg


上面附上一张,我简单试验的钓鱼图,内容怎么利用,大家懂得!!!
求乌云哥哥给个邀请码!

漏洞证明:

222.png


---------------------------------------------------

444.jpg

修复方案:

你们专业!

版权声明:转载请注明来源 poach@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:11

确认时间:2013-08-19 21:29

厂商回复:

最新状态:

暂无


漏洞评价:

评论

  1. 2013-09-30 14:49 | noah ( 普通白帽子 | Rank:384 漏洞数:40 )

    表示对你这个伪造页面感兴趣