首页 » 漏洞 » 中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

 
漏洞标题 中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现
相关厂商 中国电信
漏洞作者 大隐
提交时间 2015-04-16 15:41
公开时间 2015-06-05 12:02
漏洞类型 设计缺陷/逻辑错误
危害等级
自评Rank 20
漏洞状态 已交由第三方合作机构(cncert国家互联网应急中心)处理
Tags标签 用户敏感信息泄漏,用户敏感数据泄漏

漏洞详情

第一个漏洞:可破解安徽省所有电信用户的服务密码

漏洞地址:

http://202.102.221.85/toLoginPage.do?reurl=http%253A%252F%252F202.102.221.85%252FtoIndexPage.do

从这张图就可以看出来登陆接口无任何验证码,并没有对登陆错误次数做限制

中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

下面这2张图是测试结果 “length”结果为565的全是破解成功的,为了节约测试时间我这里采取的是10000个电信号码,只是其中一个号码段的后4位

中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

这里是10000个电信用户的号码我分别采用了123456,123123,666666,888888做为弱口令进行测试。

测试结果:

(1) 10000个用户里面有898个用户采用了弱口令,其中使用123456的用户最多达到856个,使用000000的为25个,使用123123的为10个,使用666666的为5个,888888的为8个。

(2) 随机抽出一个电信号码进行破解,这个时间稍长一点但是也很快就破解出来他的密码了。详情请看下面的2张截图;

中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

(3)登陆账号后发现安徽电信未对客户信息进行保密处理直接显示的就是全名

中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

还可以查看客户的资料比如联系方式之类的,

中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

还可以办理业务

中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

(4)发现了一个接口可以直接跳转到积分商城直接用服务密码就可以登录了,还可以兑换礼品,这个积分系统是安徽的只有安徽用户才可以用漏洞地址是:http://mall.ah163.net/

刚才那个用户在这里没有积分不知道为什么我换了一个测试账户来兑换东西

中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

这里我来测试下兑换礼品 在这里我完全可以写自己地址的手机号码也可以写自己的,我这是做测试就写了用户自己的地址。

中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

这里需要验证码通过抓包发现验证码是在客户端进行验证的也就是说在验证客户输入的这个验证码是否有效的时候,服务端会发送过来正确的验证码进行验证,这样我就知道了正确的验证码。

中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

支付成功

漏洞证明:

在这里呼吁大家尽量少使用弱口令作为密码,还有就是安徽电信网上营业厅http://ah.189.cn/没有对弱口令用户进行登录限制。这个漏洞影响范围比较广安徽有7000多万人,最少会有1000万人使用电信手机号、也就是说最少有1000万的电信用户信息随时有可能会被泄露,如果不法分子利用这些客户的信息进行诈骗,危害是很大的,这里面不光暴露了全名还有一些用户的家庭住址也可能会被泄露~

修复方案:

我不是专业技术人员

版权声明:转载请注明来源 大隐@乌云

转载请注明:安全脉搏 » 中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现

原文链接:中国电信某接口可破解某省所有用户服务密码姓名信息并可通过服务密码免费兑换礼品变现,转载请注明来源!

0