当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-094545

漏洞标题：一亩田交易网逻辑漏洞（木桶原理）

相关厂商：一亩田

漏洞作者： 路人甲

提交时间：2015-01-29 16:01

修复时间：2015-03-15 16:02

公开时间：2015-03-15 16:02

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-01-29： 细节已通知厂商并且等待厂商处理中
2015-01-29： 厂商已经确认，细节仅向厂商公开
2015-02-08： 细节向核心白帽子及相关领域专家公开
2015-02-18： 细节向普通白帽子公开
2015-02-28： 细节向实习白帽子公开
2015-03-15： 细节向公众公开

简要描述：

一亩田交易网漏洞打包包，求高rank

详细说明：

看到首页有一亩田密码重置的问题了，就来挖一挖了
http://www.ymt360.com/
首先注册用户，手机号，发送验证码，是6位数字
不截图了这里，发送手机号1分钟能发一次，服务端有限制。
然后手机版http://m.ymt360.com/
可以无限进行发送短信，造成短信轰炸，手机验证码还是6位数字

GET /user/send_msg?mobile=13800xxxxx HTTP/1.1
Host: m.ymt360.com
response  {"status":1,"msg":16595}


到这里漏洞审核肯定说无危害啊，因为没有一个短信轰炸被通过的。
然后我们来到了手机APP客户端，以安卓的为例吧
首先也是短信轰炸，这个不多说了
然后就是，短信验证码为4位数字，这个爆破起来是分分钟啊

11.jpg


然后这个可能也没什么，其实想说的是一个设计缺陷

POST /v8/phone/verify?mac=cATa3T986UgODE7YgoSZ9h4yJoI. HTTP/1.1
X-App-Version: V3.3.2
X-User-Agent: 0
X-User-Id: 93873
X-DOMAIN: app
Content-Type: application/json
Accept-Encoding: gzip,deflate,sdch
Content-Length: 57
Host: api.ymt360.com
{"seqNo":"16768","vcode":"1111","code":"aifbc6c0eo5sgzi"}


上面就是验证验证码的的请求
1111可以直接爆破
然后验证失败response返回{"status":-1}
现在我们直接不进行爆破，截获返回包，修改为{"status":0}
则直接验证通过进入账户页面

11.jpg


然后更重要的一点就是，可以知道其他用户的手机号，直接登录任意用户账号

漏洞证明：

看到首页有一亩田密码重置的问题了，就来挖一挖了
http://www.ymt360.com/
首先注册用户，手机号，发送验证码，是6位数字
不截图了这里，发送手机号1分钟能发一次，服务端有限制。
然后手机版http://m.ymt360.com/
可以无限进行发送短信，造成短信轰炸，手机验证码还是6位数字

GET /user/send_msg?mobile=13800xxxxx HTTP/1.1
Host: m.ymt360.com
response  {"status":1,"msg":16595}


到这里漏洞审核肯定说无危害啊，因为没有一个短信轰炸被通过的。
然后我们来到了手机APP客户端，以安卓的为例吧
首先也是短信轰炸，这个不多说了
然后就是，短信验证码为4位数字，这个爆破起来是分分钟啊

11.jpg


然后这个可能也没什么，其实想说的是一个设计缺陷

POST /v8/phone/verify?mac=cATa3T986UgODE7YgoSZ9h4yJoI. HTTP/1.1
X-App-Version: V3.3.2
X-User-Agent: 0
X-User-Id: 93873
X-DOMAIN: app
Content-Type: application/json
Accept-Encoding: gzip,deflate,sdch
Content-Length: 57
Host: api.ymt360.com
{"seqNo":"16768","vcode":"1111","code":"aifbc6c0eo5sgzi"}


上面就是验证验证码的的请求
1111可以直接爆破
然后验证失败response返回{"status":-1}
现在我们直接不进行爆破，截获返回包，修改为{"status":0}
则直接验证通过进入账户页面

11.jpg


然后更重要的一点就是，可以知道其他用户的手机号，直接登录任意用户账号

修复方案：

~~

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2015-01-29 16:42

厂商回复：

多谢关注，我们会一一排查改进，希望继续帮助一亩田改善安全。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-07-04 21:58 | zkj ( 路人 | Rank:4 漏洞数:1 | 本人不才，请各路大牛指点！)

    这应该属于绕过验证吧！