漏洞概要
关注数(24)
关注此漏洞
漏洞标题：同程旅游网某接口无限制撞库(验证破解用户62个)
提交时间：2014-12-27 19:30
修复时间：2015-02-10 19:32
公开时间：2015-02-10 19:32
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
Tags标签：
无
漏洞详情
披露状态：
2014-12-27： 细节已通知厂商并且等待厂商处理中
2014-12-27： 厂商已经确认，细节仅向厂商公开
2015-01-06： 细节向核心白帽子及相关领域专家公开
2015-01-16： 细节向普通白帽子公开
2015-01-26： 细节向实习白帽子公开
2015-02-10： 细节向公众公开
简要描述：
对于撞库、暴力破解攻击，绝大多数公司是抵御不了的。 同程的同仁，你不要太难过。。。
其中涉及的因素太多，完善整个账户体系的安全，需要一个长期的建设过程。
即便重视安全的公司，也可能被攻击者绕过，常见的问题：
1) X-Forwarded-For Client-IP 头绕过，后端取到了错误的IP地址
2) 攻击者低频扫号,后端监测不到异常
3) 攻击者挂了大量代理，或通过成千上万的肉鸡分布式扫号
4) 通过某些白名单IP实施攻击
5) 验证码实现有缺陷，绕过、逆向等
详细说明：
扫号接口：
漏洞证明：
修复方案：
加强控制，如果暂未制定出方案，考虑先临时强制验证码吧
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2014-12-27 22:43
厂商回复：
李姐姐你又来了 o(∩_∩)o
之前刚内部撞过，还在讨论怎么提示用户，体验会比较好。
这个我总觉得还是应该由硬件来做防护？
最新状态：
暂无
漏洞评价：
评论
-
2014-12-27 19:40 |
小川 
( 核心白帽子 | Rank:1344 漏洞数:216 | 一个致力要将乌云变成搞笑论坛的男人)
-
2014-12-27 22:44 |
小豹 ( 实习白帽子 | Rank:33 漏洞数:8 | 一个人的寂寞，整个群的错234236)
-
2014-12-28 21:29 |
疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)
-
2014-12-29 08:33 |
p0di ( 普通白帽子 | Rank:121 漏洞数:17 | 1+1 = 2 ？)
-
2014-12-31 14:46 |
lijiejie ( 核心白帽子 | Rank:2210 漏洞数:294 | Just for fun.)
厂商寄送的3 * 200礼品卡均已收到。 感谢！ @苏州同程旅游网络科技有限公司
