当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0173791

漏洞标题：山东大学校园卡中心某接口设计不当可穷举密码(威胁师生银行卡资金安全)

相关厂商：山东大学

漏洞作者： 路人甲

提交时间：2016-01-30 09:59

修复时间：2016-03-14 15:10

公开时间：2016-03-14 15:10

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-01-30： 细节已通知厂商并且等待厂商处理中
2016-01-30： 厂商已经确认，细节仅向厂商公开
2016-02-09： 细节向核心白帽子及相关领域专家公开
2016-02-19： 细节向普通白帽子公开
2016-02-29： 细节向实习白帽子公开
2016-03-14： 细节向公众公开

简要描述：

惊!山东某高校众多教授银行卡内资金无故丢失,经查竟然是被充成了话费
---------------------------------------------------------------------------------------
(-----涉及银行卡资金安全求上首页(づ￣ 3￣)づ------)
---------------------------------------------------------------------------------------

详细说明：

在校园卡web端转了一圈,未见到什么明显漏洞,转向安卓

问题app
掌上校园


4.jpg


可穷举用户名无验证码
登录时:

POST /Api/Account/SignInAndGetUserPlus HTTP/1.1
Content-Type: application/x-www-form-urlencoded
User-Agent: Dalvik/1.6.0 (Linux; U; Android 4.2.2; HM NOTE 1TD MIUI/JHECNBL41.0)
Host: card.sdu.edu.cn:8070
Connection: Keep-Alive
Accept-Encoding: gzip
Content-Length: 129
phone=&clientMark=HM NOTE 1TD&cardimsi=&signType=SynCard&account=2****&simCode=null&password=A8FAA472BBF9D16A&clientType=Android


选区_026.png


account即为校园卡号可穷举
其中passwd加密,逆向app可以得到加密方式
简单测试:在app中输入密码654321对校园卡账号穷举
一共得到37个教师存在密码为654321的弱口令

选区_027.png


选区_028.png


由于在校师生全部要求绑定了银行卡
所以

1.jpg


有了支付密码就可以用老师的银行卡冲话费了
悬崖勒马,及时收手为好

漏洞证明：

选区_026.png


选区_027.png


选区_028.png

修复方案：

此次测试过程未使用各位老师校园卡做什么偷鸡摸狗的事情,谢绝查水表


修复的话 还是加上验证码吧 用户体验虽重要 用户安全也不可小视

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2016-01-30 22:34

厂商回复：

已通报系统所属单位

最新状态：

暂无

漏洞评价：

评价

  1. 2016-01-30 13:47 | Mark0smith ( 普通白帽子 | Rank:115 漏洞数:48 )

    卧槽

  2. 2016-01-30 17:05 | 方大核桃 ( 实习白帽子 | Rank:74 漏洞数:12 | 山东某高校学生)

    卧槽

  3. 2016-01-30 18:36 | von ( 路人 | Rank:12 漏洞数:6 | 一个帅字贯穿了我的一生~)

    卧槽

  4. 2016-01-30 21:38 | 岛云首席鉴黄师 ( 普通白帽子 | Rank:460 漏洞数:125 | icisaw.cn 超低价虚拟主机VPS 购买返现 支...)

    我就看看评论里能炸出几个山大的来~

  5. 2016-01-31 00:59 | 小杰哥 ( 普通白帽子 | Rank:251 漏洞数:34 | 此号公开用于看文章。)

    活捉山东大学 学生dog一枚 23333333333

  6. 2016-01-31 11:21 | 方大核桃 ( 实习白帽子 | Rank:74 漏洞数:12 | 山东某高校学生)

    @岛云首席鉴黄师 感觉山大在乌云的并不怎么多

  7. 2016-01-31 13:15 | 岛云首席鉴黄师 ( 普通白帽子 | Rank:460 漏洞数:125 | icisaw.cn 超低价虚拟主机VPS 购买返现 支...)

    @方大核桃 科大的不少~