漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-072574
漏洞标题：广东电信网上营业厅宽带用户隐私泄露漏洞
相关厂商：中国电信
漏洞作者： 猫哥
提交时间：2014-08-15 18:59
修复时间：2014-09-29 20:04
公开时间：2014-09-29 20:04
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：12
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-15： 细节已通知厂商并且等待厂商处理中
2014-08-20： 厂商已经确认，细节仅向厂商公开
2014-08-30： 细节向核心白帽子及相关领域专家公开
2014-09-09： 细节向普通白帽子公开
2014-09-19： 细节向实习白帽子公开
2014-09-29： 细节向公众公开
简要描述：
广东电信网上营业厅存在信息泄露漏洞，通过简单，记住是简单，简单到吐血地构造一个web请求，任何人可轻易获取任意宽带帐号机主身份证号码。不知道现在有多少用户信息就这样被泄露出去了。
身份证有什么用？好吧，请继续脑补哦。
目前广东支持手机号码@163.gd作为宽带帐号，换而言之，我们只需要构造这个手机号码对应的宽带帐号，便可以知道某个手机号的身份证号码。
这样做又有什么用？你撞库的时候就有用了。
详细说明：
以下是一个被广东电信网上营业厅广泛使用的，用于检验用户输入的宽带帐号与身份证是否匹配的接口。
http://gd.189.cn/dwr/exec/kdxy2012Helper.checkIsExistCustNo.dwr
调用该接口，可返回某帐号的身份证号码。
比如在 http://gd.189.cn/internet/kdxy/index.html?=yhzq 点『我要续约』。
可进入看到
这里便调用了 http://gd.189.cn/dwr/exec/kdxy2012Helper.checkIsExistCustNo.dwr ，将用户输入的宽带帐号和密码进行校验。
一般用于在线上宽带续约时，验证用户身份。类似帐号密码检验，但，正常人的做法是将id和pass送到云端校验，而开发这套系统的神人是将正确的pass取回来，然后和input_pass进行比对。这真是前所未闻的做法。
而且，该dwr接收参数时，未防范请求者IP，未对请求次数作限制，完全是不负责任的开发人员作出的最愚蠢的coding。
漏洞证明：
我拿了我部门一个同事的帐号（对不起啦谭X兄）进行校验
返回
s3中即为身份证号码。
修复方案：
重写程序。没有其他建议。
版权声明：转载请注明来源 猫哥@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2014-08-20 10:47
厂商回复：
CNVD确认并复现所述漏洞情况，已经转由CNCERT直接通报给中国电信集团公司处置。
最新状态：
暂无