漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0152611
漏洞标题：Weloop-APK接口若干安全bug打包(设计逻辑缺陷/XSS/任意文件上传)
相关厂商：无限寻环科技（深圳）有限公司
漏洞作者： kevinchowsec
提交时间：2015-11-09 14:23
修复时间：2015-12-24 14:24
公开时间：2015-12-24 14:24
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-11-09： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-12-24： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
Weloop-APK接口若干安全bug打包。
详细说明：
1、未限制用户批量提交数据（爆破短信验证码，抢占任意手机号注册）
2、XSS跨站
3、任意文件上传
漏洞证明：
1、未限制用户批量提交数据（爆破短信验证码，抢占任意手机号注册）
客户端注册接口短信验证码为4位，且无限制用户批量提交数据。导致恶意攻击者可以在短时间内爆破短信验证码，成功抢占任意手机号注册。
①客户端-新用户注册-输入18888888888-发送验证码-输入4位错误验证码；
②截response包，修改返回值N为Y，欺骗客户端进入下一步设置密码界面；
③输入密码提交请求-得到请求数据包-发送至Intruder模块，导入4位数字字典对checkCode参数进行枚举；
④爆破成功，完成注册，账号：18888888888，密码：qwertyuiop。
2、XSS跨站
进入客户端后抓取数据包进行测试，发现接口“/weloop/friendAction!searchUser.do”存在反射型XSS跨站。
原因是
3、任意文件上传
进入客户端后抓取数据包进行测试，发现接口“/weloop/userAction!accountInfo.do”未校验文件后缀名，可上传任意文件。
此处可上传恶意代码的html，并将头像"headPic"设置为html的地址，当普通用户访问资料时将触发该处恶意代码。
修复方案：
1、如用户登录接口一样，限制用户批量提交数据；
2、设置 Content-Type = 'application/json;charset=UTF-8' ，同时对输入过滤对输出转义；
3、严格校验文件后缀名，对所有上传文件的后缀名也进行强制重命名。
版权声明：转载请注明来源 kevinchowsec@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝