当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0124870

漏洞标题：运营商安全之某省移动网上营业厅服务密码设计不当可对大部分用户随意停机/办理业务/办理套餐/个人资料/PUK码/入网时间等

相关厂商：中国移动

漏洞作者： 时光love叶子

提交时间：2015-07-06 14:33

修复时间：2015-08-24 19:12

公开时间：2015-08-24 19:12

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-06： 细节已通知厂商并且等待厂商处理中
2015-07-10： 厂商已经确认，细节仅向厂商公开
2015-07-20： 细节向核心白帽子及相关领域专家公开
2015-07-30： 细节向普通白帽子公开
2015-08-09： 细节向实习白帽子公开
2015-08-24： 细节向公众公开

简要描述：

登陆移动网上营业厅弱密码|停随意机、办理业务、办理套餐、个人资料、PUK码、入网时间等

详细说明：

1.jpg

2.jpg

3.jpg

4.jpg

5.jpg

6.jpg

7.jpg

8.jpg

9.jpg

几百块的流量订购 随便开通 手机随便停机

漏洞证明：

号码  15826755085   密码755085
号码  15826755090   密码755090
号码  15826755091   密码755091
……


1.jpg

2.jpg

3.jpg

4.jpg

5.jpg

6.jpg

7.jpg

8.jpg

9.jpg

几百块的流量订购 随便开通 手机随便停机

修复方案：

模仿联通 强制修改初始密码禁止初始密码登陆

版权声明：转载请注明来源 时光love叶子@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2015-07-10 19:11

厂商回复：

CNVD确认所述情况,已经转由CNCERT向中国移动集团公司通报,由其后续协调网站管理部门处置.

最新状态：

暂无

漏洞评价：

评论

  1. 2015-07-06 15:51 | 牛小帅 ( 路人 | Rank:0 漏洞数:1 | http://www.wooyun.org)

    *******看戏了****看戏了 *** 麻痹 没位置了*********** 占个位置

  2. 2015-07-12 20:56 | 时光love叶子 ( 路人 | Rank:30 漏洞数:7 | 苦逼高中生。。。不能废话了 上课去了 ...)

    才8rank对得起我？？

  3. 2015-08-24 20:44 | 机器猫 ( 普通白帽子 | Rank:1141 漏洞数:253 | 爱生活、爱腾讯、爱网络！)

    这样也行？

  4. 2015-08-25 08:54 | backda0 ( 路人 | Rank:4 漏洞数:6 | none)

    这样也行？还是20多个省，我也能赚100多rank了···

  5. 2015-08-25 09:50 | 路易崽 ( 路人 | Rank:16 漏洞数:3 | 各种游荡中~)

    迷人的箭头。

  6. 2015-08-25 11:09 | 小小泥娃 ( 路人 | Rank:20 漏洞数:4 | 高二)

    @时光love叶子 可能是因为漏洞成因简单 并不会造成实际经济损失 仅仅只是个初始密码，导致了低rank

  7. 2015-09-02 08:03 | 时光love叶子 ( 路人 | Rank:30 漏洞数:7 | 苦逼高中生。。。不能废话了 上课去了 ...)

    好吧 但是另一个漏洞无缘无故扣了十rank为啥？@小小泥娃