漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-064986
漏洞标题：格林豪泰短信验证漏洞和订单查询无权限控制
相关厂商：格林豪泰酒店管理集团
漏洞作者： JohnWong
提交时间：2014-06-15 09:35
修复时间：2014-07-30 09:36
公开时间：2014-07-30 09:36
漏洞类型：未授权访问/权限绕过
危害等级：低
自评Rank：5
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-06-15： 细节已通知厂商并且等待厂商处理中
2014-06-16： 厂商已经确认，细节仅向厂商公开
2014-06-26： 细节向核心白帽子及相关领域专家公开
2014-07-06： 细节向普通白帽子公开
2014-07-16： 细节向实习白帽子公开
2014-07-30： 细节向公众公开
简要描述：
格林豪泰手机网站短信验证存在逻辑缺陷，订单查询未作权限控制。
详细说明：
格林豪泰的手机网站http://m.998.com/
1. 短信验证漏洞
注册页面http://m.998.com/Api/Account/SendMobileCheckMsg.ashx
发送验证码的请求返回结果中直接包含了短信验证码。这样的结果就是可以随便使用别人的手机号码来注册账号。同样，在非会员订单查询的登录页http://m.998.com/phone_order.html，验证码同样是这样的神逻辑。这样做是为了让前端做短信验证码的验证。前端的验证还是很容易干掉的，短信验证码完全没用了。
2. 订单查询无权限控制。
非会员订单查询页面的登录一点用都没有啊，因为查询的接口根本没做权限控制。http://m.998.com/Api/User/GetOrderList.ashx?cardNo=0&phone=18000000000&orderListType=1&page=1&pageSize=10
会员的订单查询接口页没做权限控制，传个卡号过去就可以查了。
http://m.998.com/Api/User/GetOrderList.ashx?cardNo=100001450000&phone=&orderListType=2&page=1&pageSize=10
漏洞证明：
捕获到的手机验证码：
非会员订单查询试了几个没结果懒得再试了。
会员订单查询找到了几个：
有关于手机和银行的字段，不过找到的这个账号都是空的。貌似没什么敏感信息直接发上来了。
修复方案：
给IT部门打电话吧。
版权声明：转载请注明来源 JohnWong@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：3
确认时间：2014-06-16 17:31
厂商回复：
该问题之前已发现，正在修复中，补丁暂未上线，谢谢您的支持
最新状态：
暂无