漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0119702
漏洞标题：乾贷网多个设计缺陷导致用户账户安全受到威胁（多个用户账号证明）
相关厂商：qiandw.com
漏洞作者： 鸟云厂商
提交时间：2015-06-11 13:38
修复时间：2015-07-27 12:56
公开时间：2015-07-27 12:56
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-11： 细节已通知厂商并且等待厂商处理中
2015-06-12： 厂商已经确认，细节仅向厂商公开
2015-06-22： 细节向核心白帽子及相关领域专家公开
2015-07-02： 细节向普通白帽子公开
2015-07-12： 细节向实习白帽子公开
2015-07-27： 细节向公众公开
简要描述：
# 会去看乾贷网的接口是因为看到了师傅@her0ma 发的漏洞http://www.wooyun.org/bugs/wooyun-2010-0118393
厂商回复：我们目前服务器放在阿里云金融机房，和支付宝享受同等级别的安全。
不管厂商出于什么想法做出这样的回复，我想说：安全级别不是由你放在哪个机房决定的。
名人名言：安全是动态的-----马克-吐温
详细说明：
# 会去看乾贷网的接口是因为看到了师傅@her0ma 发的漏洞 WooYun: p2p金融安全之乾贷网目录遍历导致服务器被控制
厂商回复：我们目前服务器放在阿里云金融机房，和支付宝享受同等级别的安全。
不管厂商出于什么想法做出这样的回复，我想说：安全级别不是由你放在哪个机房决定的。
名人名言：安全是动态的-----马克-吐温
以下涉及用户隐私的内容麻烦审核小伙伴mask一下
问题1
#主站接口存在安全漏洞导致可撞库或探测弱口令
Host: www.qiandw.com
POST /Account/LogIn
DATA __RequestVerificationToken=****&ReturnUrl=&userName=*A*&password=*B*&ajax=1&loginBt=%E7%AB%8B%E5%8D%B3%E7%99%BB%E5%BD%95
以下是探测出来的部分账户密码
问题2
#可以查看任意用户的手机号（严重可利用电话诈骗）
http://www.qiandw.com/Account/Register?pid=21516
pid可遍历
直接显示用户手机号
我不需要他的账户信息
打个电话给他，冒充客服就能办到不少事
更大的利用是把号码爬出来，批量进行再次爆破
问题3
#任意绑定手机号，不需要验证原号码
请看https://www.qiandw.com/User/BindPhone的功能
漏洞证明：
修复方案：
版权声明：转载请注明来源 鸟云厂商@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2015-06-12 12:54
厂商回复：
谢谢鸟云厂商认证白帽子提交，我们第一时间修复！！
最新状态：
暂无