当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0113857

漏洞标题：趣分期某后台存在大量弱口令漏洞

相关厂商：趣分期

漏洞作者： px1624

提交时间：2015-05-13 11:05

修复时间：2015-06-28 10:38

公开时间：2015-06-28 10:38

漏洞类型：后台弱口令

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-05-13： 细节已通知厂商并且等待厂商处理中
2015-05-14： 厂商已经确认，细节仅向厂商公开
2015-05-24： 细节向核心白帽子及相关领域专家公开
2015-06-03： 细节向普通白帽子公开
2015-06-13： 细节向实习白帽子公开
2015-06-28： 细节向公众公开

简要描述：

趣分期成立于2014年4月，是国内领先的面向大学生提供分期消费的金融服务平台，覆盖了全国近3000万大学生用户。

详细说明：

1 后台地址：http://e.qufenqi.com 商家合作平台
登录没有验证码，尝试发现登录位置错误的时候会统一提示用户名或密码错误。

1.png


2 发现有个忘记密码的功能，试了试，发现这里可以可以利用判断出用户名存在与否。
随便填写个手机号，填好用户名点击发送验证码。

2.png


3.png


3 这样测试了下常见用户名，收集到了以下有效的登录用户名。

test
admin1
0
1
2
zhang
123
wang
liu
huang
cui
zhu
qian
chen


4 然后登录接口没有验证码，可以用来爆破，测试了下常见密码，爆破出了不少的弱口令！

test   11111111
admin1  123123
zhang   zhang123
wang    12345678
zhu     110120119
qian    110120119
chen     a123456


5 随便一个都可以登入，每个帐号登入后的信息都是不一样的，应该是各自商家自己的后台系统。

4.png


test帐号的订单数据还蛮多的。

5.png


系统功能挺强大的，还可以发布新商品。

6.png


漏洞证明：

如上，说明问题即可，不深入了，求礼物！~

修复方案：

1 修补弱口令问题。
2 登录位置加上页面验证码。

版权声明：转载请注明来源 px1624@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2015-05-14 10:36

厂商回复：

感谢！

最新状态：

暂无

漏洞评价：

评论

  1. 2015-05-13 11:09 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了，跪着也要...)

    大量

  2. 2015-05-13 11:11 | 紫霞仙子 ( 普通白帽子 | Rank:2027 漏洞数:279 | 天天向上 ！！！)

    终于刷到 趣分期了

  3. 2015-05-13 11:16 | 孤独雪狼 ( 普通白帽子 | Rank:710 漏洞数:145 | 七夕手机被偷，这坑爹的七夕啊 。。。。)

    终于有人刷这个了

  4. 2015-05-13 11:39 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    @紫霞仙子 @孤独雪狼 。。。再不挖洞可能就跌出前3页了，亚历山大啊！

  5. 2015-05-14 10:37 | niliu 认证白帽子 ( 核心白帽子 | Rank:1542 漏洞数:206 | 逆流而上)

    @孤独雪狼 不会有人再刷这个了

  6. 2015-05-14 10:45 | 孤独雪狼 ( 普通白帽子 | Rank:710 漏洞数:145 | 七夕手机被偷，这坑爹的七夕啊 。。。。)

    @niliu @px1624 PX不哭

  7. 2015-05-14 10:58 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    @趣分期 MD......遇到这种xx厂商，拉低我的rank平均值啊

  8. 2015-05-14 16:55 | 姗姗来迟 ( 普通白帽子 | Rank:297 漏洞数:72 | coffeesafe的小号)

    白帽子挖洞容易么，真坑爹。一个连自己的产品安全都不注重的企业，如何能做大企业，做好公司！话又说回来，你们这样！最终只能害了你们自己！