漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-065956
漏洞标题：支付宝快捷支付绕过银行预留手机号限制
相关厂商：支付宝
漏洞作者： 小卢
提交时间：2014-06-23 17:14
修复时间：2014-06-27 22:18
公开时间：2014-06-27 22:18
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-06-23： 细节已通知厂商并且等待厂商处理中
2014-06-27： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
=。=支付宝快捷支付绕过银行预留手机号限制。。。我想说，我也不知道这是为什么。。。发福利么？
详细说明：
首先，证明下，这张中国银行的卡是木有在银行预留手机号的
接下来，我们换一个支付宝账号登陆
选择转账。
依旧使用快捷支付
（注：这个支付宝账号的实名认证并不是卡主，所以，手动输入姓名和身份证号）
然后，手机号输入这个支付宝账号绑定的手机号，获取验证码，神奇的事情发生了。。。
=。=接下来，看短信，输入付款校验码，然后点同意协议并付款。。
=。=就这样神奇的成功了。。。。
漏洞证明：
首先，证明下，这张中国银行的卡是木有在银行预留手机号的
接下来，我们换一个支付宝账号登陆
选择转账。
依旧使用快捷支付
（注：这个支付宝账号的实名认证并不是卡主，所以，手动输入姓名和身份证号）
然后，手机号输入这个支付宝账号绑定的手机号，获取验证码，神奇的事情发生了。。。
=。=接下来，看短信，输入付款校验码，然后点同意协议并付款。。
=。=就这样神奇的成功了。。。。
修复方案：
=。=额，，，，，话说，我也不知道这是什么节奏、、、修复的话，相信支付宝的大牛们可以解决的
版权声明：转载请注明来源 小卢@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-06-27 22:18
厂商回复：
亲，感谢您的反馈，在这里会详细解答您的疑惑。
当您在进行支付时，除了需要您手动操作的校验方式外，系统还会自动对您的账户安全等级、过往的交易行为记录以及您当前操作的环境风险等多重信息进行智能校验。这些智能校验大家可能感知不到，但系统的确时时刻刻在保护着您的账户安全。
如您呈现的截图，依据系统校验，您所填写卡号的身份信息，和您的帐户信息不一致，所以并未能开通快捷支付。不过，系统还会运用大数据技术，分析该银行卡以及卡片所有人和当前支付宝账户之间的关系程度，在保障安全的前提下判断该帐户是否能使用该卡进行一次性支付。也基于此，您得以完成该笔支付。
当然，这只是一次性支付，这张卡跟这个支付宝账户之间并不能建立绑定关系，也不会在该帐户内保存卡片信息，如果后续还想使用这张卡或者其他的卡进行支付，同样还得再经过系统校验。
非常感谢你对安全问题的关注。基于目前广泛存在的信息泄露等风险，传统的密码、校验码等安全技术正在面临挑战，基于大数据分析的智能化、多因子认证技术已经在全球范围内成为趋势。支付宝也一直在这方面进行探索。如果您感兴趣，我们可以就这个话题在线下进行更多交流。
最新状态：
暂无
漏洞评价：
评论
-
@支付宝 非卡主不能绑定很正常，但是楼主的这个是个问题，我相信你们会修复
( 普通白帽子 | Rank:686 漏洞数:101 )