漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0134352
漏洞标题：小组饭严重设计缺陷（可使用他人积分/可登陆任意账号）
相关厂商：小组饭
漏洞作者： 男丶壹号
提交时间：2015-08-17 23:27
修复时间：2015-10-02 00:20
公开时间：2015-10-02 00:20
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-08-17： 细节已通知厂商并且等待厂商处理中
2015-08-18： 厂商已经确认，细节仅向厂商公开
2015-08-28： 细节向核心白帽子及相关领域专家公开
2015-09-07： 细节向普通白帽子公开
2015-09-17： 细节向实习白帽子公开
2015-10-02： 细节向公众公开
简要描述：
小组饭,一个有意思的订餐网站。
详细说明：
域名：www.xiaozufan.com
随便注册一个账号：老王
修改个人资料，这里，修改手机号逻辑错误，可修改为任意手机号：
随便找个官方的账号来测试：
找回密码：
根据邮箱或用户名找回密码，手机号侧漏：
好了，就你了，手机号：15810396523
修改参数phone，无任何验证，直接修改成功：
退出，重登录，用户名变成了8605344b8f1439631537（应该是用户ID）：
登录成功，弹出提示，账号是否合并：
1.勾选自己的账号合并。
强制注销别人账号，将积分合并到自己的账号。
2.勾选别人的账号合并。
将自己的积分，合并到别人的账号，同时，登录到别人的账号。
可使用他人积分，余额，查看他人信息信息等。
证明，找了土豪账号测试：
随便勾选一个，即可登录成功：
漏洞证明：
修复方案：
1.找回密码不要把完整手机号码显示出来。
2.手机号既然可以作为登录用户名，修改手机号需验证。
版权声明：转载请注明来源 男丶壹号@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2015-08-18 00:19
厂商回复：
非常感谢，已着手处理，请继续督促，感谢！
最新状态：
暂无