漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-039645
漏洞标题：去哪儿任意进入他人账号（OAuth 2.0无绑定token问题）
相关厂商：去哪儿
漏洞作者： lhshaoren
提交时间：2013-10-14 12:42
修复时间：2013-10-14 17:01
公开时间：2013-10-14 17:01
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-14： 细节已通知厂商并且等待厂商处理中
2013-10-14： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
OAuth 2.0协议，access_token无验证
详细说明：
1、A账户登录A应用
2、获取A账户access_token
3、B账户登录去哪儿网
4、在response时，截包修改为A账户access_token
漏洞证明：
登录为A账户
修复方案：
WooYun: 啪啪任意进入他人账号（OAuth 2.0无绑定token问题）
58也存在同样问题，懒得提交了
版权声明：转载请注明来源 lhshaoren@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-10-14 17:01
厂商回复：
首先非常感谢lhshaoren同学对去哪儿网的关注，这个问题已经与 lhshaoren沟通并确认，问题不是发生在我们的应用上。
这个攻击测试过程是通过authorize接口，获取到code，这个code是用来通过授权回调地址传入，然后通过OAuth2/access_token 换取access_token，问题应该出在oauth接口上
同时我们对第三方登录成功后还要求再验证一个用户密码。
最新状态：
暂无
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)