漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-034543
漏洞标题：金逸国际影城会员卡设计缺陷导致随意绑定（用别人的钻石卡消费）
相关厂商：金逸国际影城
漏洞作者： Iron.Xia
提交时间：2013-08-21 16:42
修复时间：2013-10-05 16:43
公开时间：2013-10-05 16:43
漏洞类型：服务弱口令
危害等级：中
自评Rank：8
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-21： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-10-05： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
网站上账户可以与钻石卡绑定直接消费，钻石卡卡号连号，统一弱口令。
详细说明：
今天去想看电影，去金逸网站上订票，顺便帮顶了会员卡。
之后我想到会员卡是不是连号，密码是统一的888888（密码我听柜台员工说过，新卡是默认密码），所以就测试了下。
因为部分会员卡是内部发放，用来送人的，所以注册时候生分证号是空的，随便填都没关系。结果验证了我的想法，果然没修改密码的钻石卡都可以绑定，绑定后就能马上消费。电影院取票只需要交易号和验证码，无需会员卡和身份证。
此卡送的一般都是40岁以上的人，到电影院可以直接用卡消费，所以也没那么多人会在网上绑定，甚至不知道，我也是今天才知道有这功能。
当然，我今天看电影消费的是我自己的卡= =
我看到很多漏洞公布后，厂商都还没有修补漏洞，所以我把会员卡号涂了，以防我和别的卡内金额被……
我也不知道漏洞类型应该选哪个，如果选错了麻烦管理员帮我改一下吧，谢谢！
漏洞证明：
首先随意用手机注册一个网站账号吗，然后绑定会员卡。绑定只需卡号和卡密，卡密为统一默认密码，即没改密码就能绑。
绑定成功。即可查询卡内余额
依次测试连号的钻石卡，都绑定成功。
绑定完之后就能直接网上消费，无需会员卡和身份证。鉴于我发现很多厂商在漏洞公布后还不会及时修补，担心用户卡内金额会遭盗用，所以我把卡号涂了，密码是统一的888888
修复方案：
最好是随机密码，直接贴在会员卡上。或者像买火车票一样，刷身份证拿票。
版权声明：转载请注明来源 Iron.Xia@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝