当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-094476

漏洞标题:万达电影主站验证码形同虚设

相关厂商:大连万达集团股份有限公司

漏洞作者: 我爱水秀天蓝

提交时间:2015-01-29 10:27

修复时间:2015-03-15 10:28

公开时间:2015-03-15 10:28

漏洞类型:网络设计缺陷/逻辑错误

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-01-29: 细节已通知厂商并且等待厂商处理中
2015-01-29: 厂商已经确认,细节仅向厂商公开
2015-02-08: 细节向核心白帽子及相关领域专家公开
2015-02-18: 细节向普通白帽子公开
2015-02-28: 细节向实习白帽子公开
2015-03-15: 细节向公众公开

简要描述:

验证码本用于防暴力,但形同虚设。唉……

详细说明:

主站:http://www.wandafilm.com/
首先,看一下找回密码:http://www.wandafilm.com/get_pass/get_pass.jsp

QQ截图20150128202314.png


此处的验证码貌似很强大,实际形同虚设,还能好好地被利用。用户名随便输入手机号,验证码随便输入,当手机号没注册过,会提示“您输入的账户名不存在,请核对后重新输入”;当手机号注册过了,会提示“验证码错误!”。由此可以遍历手机号,找出注册过的号码。

QQ截图20150128202734.png


再来到登录:http://www.wandafilm.com/common/login.jsp
咳,这里看起来好像输入一次错误的密码就会要求验证码,其实,接下来就知道了。
抓包,把cookie的值置空。就可以暴力了,哈哈。。。
不用费多大力气,轻松就跑出来了一个。

QQ截图20150128204506.png


漏洞证明:

QQ截图20150128205057.png


这位昨天刚刚订了一场电影,还不错。到此一游了,什么也没做哦,退出。

修复方案:

几处的验证码都有问题,你懂得!

版权声明:转载请注明来源 我爱水秀天蓝@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2015-01-29 10:39

厂商回复:

感谢“我爱水秀天蓝”同学的关注与贡献!马上通知业务整改。另,请私信留Q联系礼物事宜。谢谢!

最新状态:

暂无


漏洞评价:

评论