漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-086283
漏洞标题：宜信某平台突破服务端验证（业务逻辑设计错误）
相关厂商：宜信
漏洞作者： diguoji
提交时间：2014-12-08 11:07
修复时间：2015-01-22 11:08
公开时间：2015-01-22 11:08
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-08： 细节已通知厂商并且等待厂商处理中
2014-12-12： 厂商已经确认，细节仅向厂商公开
2014-12-22： 细节向核心白帽子及相关领域专家公开
2015-01-01： 细节向普通白帽子公开
2015-01-11： 细节向实习白帽子公开
2015-01-22： 细节向公众公开
简要描述：
某平台可以突破绕过服务器认证 进入自己的账户 无需服务端审核 并且可以用自己指定的邮箱手机号码，进行注册，无需验证。
详细说明：
http://i.yixin.com/ 宜信在线
使用手机号注册好 点击进入我的账户
此时会进行身份验证，只有投资过验证通过才能进入资产账户，也就是说宜信那边要通过某种方式确认你是投资了，服务端会进行确认或者其他类型操作确认你是投资过的才能通过，正常没有验证通过的用户输入身份证后是这样的
下边来抓包看 http请求和响应 都拦截，观察，经过测试查看到其中端倪，看下图
中途还进行了一次get请求，没做测试 仅限于做逻辑测试，所以直接看回应包
此处服务器返回数据无参数 开发人员开发中利用此项服务器返回值作为验证用户是否投资，
客户端返回数据可以修改，经过尝试将值改为1 看返回结果
发送下响应到客户端执行，经过 4次回应，如下，已经绕过验证
首先确定没有注册邮箱和手机号码，所以肯定收不到校验码，没关系，验证方式还是一样，随便填上校验码提交上抓包，拦截响应继续改，看截图
这里需要验证身份此处将自己的邮箱和手机号填上，
至此可以绕过服务器认证 进入自己的账户 并且可以用自己指定的邮箱手机号码，进行注册，无需验证。
漏洞证明：
验证方式同一拨开发人员的开发的 问题应该都一样 其他平台位测试，感觉可以刷钱，由于没有正常账号所以未做测试。
修复方案：
认证方式需要修改
版权声明：转载请注明来源 diguoji@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：2
确认时间：2014-12-12 17:21
厂商回复：
感谢，问题提交很详细。后端认证并未通过
最新状态：
暂无