漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-067677
漏洞标题：淘宝手机某应用泄露绑定实名认证的支付宝的完整身份证号码和绑定的手机号
相关厂商：淘宝网
漏洞作者： 104705824
提交时间：2014-07-09 16:33
修复时间：2014-08-23 16:34
公开时间：2014-08-23 16:34
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：6
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-09： 细节已通知厂商并且等待厂商处理中
2014-07-10： 厂商已经确认，细节仅向厂商公开
2014-07-20： 细节向核心白帽子及相关领域专家公开
2014-07-30： 细节向普通白帽子公开
2014-08-09： 细节向实习白帽子公开
2014-08-23： 细节向公众公开
简要描述：
淘宝手机某应用泄露绑定实名认证的支付宝的完整身份证号码和绑定的手机号
详细说明：
类似 WooYun: 淘宝网某分站完整泄露绑定实名认证的支付宝的完整身份证号码和绑定的手机号
承认有点刷积分的嫌疑，不过确实是属于设计的小小瑕疵。
上面提供的是存在在网页版中
这个是存在在淘宝手机应用中
一处存在在手机淘宝客户端安卓版 版本：4.5.0 其他的没有测试
淘金币金币乐园中金币抢红包中参加淘旅行抽奖登记
另一存存在于淘宝旅行手机客户端中常旅客奖励中都是同一活动
提交个人信息会自动显示认证时的用户姓名和绑定的手机号，虽然身份证手机淘宝客户端中不显示，淘宝旅行客户端中部分打星号显示。不过淘宝旅行客户端点击确定抓包后发现提交的信息会完整显示出来包括了身份证号码。
通过研究发现这里同时都调用了一个API接口。
函数是mtop.trip.common.getAlipayIdCard
返回的信息中包含了用户真实姓名 手机号 加密后的身份证号码
淘宝旅行客户端另一个API
com.taobao.client.user.getUserInfo
会返回登录用户的支付宝信息
"alipay":{"amount":"0.00","bindMobile":"false","katong":"false","alipayAccount":"XXXXX@163.com","seesionId":"0"}
应该是支付宝余额 绑定的手机号码 支付宝账号
漏洞证明：
API返回的信息
mtop.trip.common.getAlipayIdCard
返回
{"api":"mtop.trip.common.getAlipayIdCard","v":"1.0","ret":["SUCCESS::调用成功"],"data":{"name":"","phone":"","idCard":""}}
修复方案：
敏感信息打下码还是最好的。
版权声明：转载请注明来源 104705824@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2014-07-10 11:18
厂商回复：
感谢您的关注和支持，该漏洞我们正在修复！
最新状态：
暂无