漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2014-070947
漏洞标题:天格科技某处越权漏洞可修改任意账户资料
相关厂商:天格科技(杭州)
漏洞作者: s3xy
提交时间:2014-08-04 12:49
修复时间:2014-09-18 12:50
公开时间:2014-09-18 12:50
漏洞类型:未授权访问/权限绕过
危害等级:高
自评Rank:20
漏洞状态:厂商已经确认
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2014-08-04: 细节已通知厂商并且等待厂商处理中
2014-08-04: 厂商已经确认,细节仅向厂商公开
2014-08-14: 细节向核心白帽子及相关领域专家公开
2014-08-24: 细节向普通白帽子公开
2014-09-03: 细节向实习白帽子公开
2014-09-18: 细节向公众公开
简要描述:
天格科技某处越权漏洞可修改任意账户资料
详细说明:
问题存在于天格科技的苹果客户端。安卓下目测存在同样的问题。
下载方式位于http://mobile.9158.com/ 或直接91助手搜索9158
进入客户端,注册帐号。我们点击个人资料
我们看下数据包
发现了用户ID的参数,而在首页,我发现了9158公司VIP销售助理的ID
我们把ID改为30400试试
可以看到,成功读取了该销售助理的信息,包括不对外公开的登录用户名
那么我们继续尝试更改信息,点击保存
我把用户名加了个句号,发现成功更改掉了。
gender是性别,默认不可更改,但是通过改数据可以实现,0为女,1为男。
至于uid不用解释了吧。
如果我把ID遍历一遍,那么全站的用户信息都会被改掉了。
漏洞证明:
越权操作的接口
http://mobile.9158.com//user/userInfo.aspx?uid=2588****
http://mobile.9158.com//user/updateInfo_new.aspx
修复方案:
添加接口认证
版权声明:转载请注明来源 s3xy@乌云
漏洞回应
厂商回应:
危害等级:高
漏洞Rank:20
确认时间:2014-08-04 16:54
厂商回复:
感谢提交!我们会尽快修复。
最新状态:
暂无