记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

顺丰运单查询系统可跳过验证信息直接查看签收运单照片

2014-06-24 19:50

近日在购物网站上买了东西,卖家发来顺丰单号后,闲来无事,便去顺丰官网查询运单记录。意外发现顺丰网站改版了,运单是:90375177xxxx ,然后发现,顺丰增加了运单资料以及签收照片的查询功能,但必须是通过输入运单上手机号码,并通过验证码验证才可以查询到。

QQ截图20140608033128.png



后通过其查询跳转到的网址:http://www.sf-express.com/sf-service-web/service/billPicture/运单号/image?phone=运单上手机号码&lang=sc&region=cn 推断验证码没起什么作用。只要知道收货人手机号码以及该运单号码,均可通过该网址链接进行跳转查询。

QQ截图20140608033927.png

虽然前提条件是必须知道运单号以及收件人手机号码,但通过该方式可能会导致收件人在不知情的情况下,运单签收照片、家庭住址、购物信息泄露。希望顺丰能够及时修补。

漏洞证明:

修复方案:

顺丰你们更专业。

知识来源: www.wooyun.org/bugs/wooyun-2014-064018

阅读:444927 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“顺丰运单查询系统可跳过验证信息直接查看签收运单照片”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

九层之台,起于累土;黑客之术,始于阅读

推广

工具

标签云