漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-057159
漏洞标题：中国邮政某处设计不当可更改任意用户名+百万用户敏感信息可遍历
相关厂商：中国邮政集团公司信息技术局
漏洞作者： 魇
提交时间：2014-04-15 16:19
修复时间：2014-05-30 16:19
公开时间：2014-05-30 16:19
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-04-15： 细节已通知厂商并且等待厂商处理中
2014-04-16： 厂商已经确认，细节仅向厂商公开
2014-04-26： 细节向核心白帽子及相关领域专家公开
2014-05-06： 细节向普通白帽子公开
2014-05-16： 细节向实习白帽子公开
2014-05-30： 细节向公众公开
简要描述：
更改任意未注册用户名
遍历真实姓名、性别、手机号码、所在地详细至街道门牌号
详细说明：
http://11185.cn/ 中国邮政网上营业厅
因测试需要，我注册了一个帐号
用户名为：wooyunyana 邮箱为：wooyunyana@126.com
登录个人中心-账户信息，直接点提交抓包数据
将post请求
customerName=wooyunyana 修改成想要更改的用户名 例：wooyun8
然后提交，这时候我们可以看到用户名已经修改成功了
用修改的帐号也可以成功登录，但是我后续测试了一下，如果更改成已注册的帐号
虽然用户名可以成功更改，但无法用原帐号密码登录更改后账户密码
这里就有点鸡肋，但是我注意到刚才提交的那个post请求
除了有用户名参数，还有一个contact.contactId=1155560
那么是否可以更改ID来遍历用户信息呢？
答案是肯定的。
为了证实可行性，这里我随机遍历几个ID
contact.contactId=3：
contact.contactId=10：
contact.contactId=100：
contact.contactId=100000：
我自己的账户ID为1155560，也就是说，在我之前仍有百万用户！
也可以依法遍历出！
如果被有心人士利用，后果你们比我更懂吧...
漏洞证明：
见详细说明
修复方案：
null
版权声明：转载请注明来源 魇@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2014-04-16 03:01
厂商回复：
谢谢，我们会联系相关负责人进行处理。
最新状态：
暂无