记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

中国电信某省网上营业厅用户信息泄漏(订单、姓名、地址、号码、邮件)

2014-11-08 00:25

1、baidu搜索:site:189.cn inurl:order 订单号 地址 订单详情

中国电信云南用户订单信息泄漏1_20140923.jpg





2、发现云南电信网上营业厅用户订单详细信息可被非授权访问

中国电信云南用户订单信息泄漏2_20140923.jpg



中国电信云南用户订单信息泄漏3_20140923.jpg

漏洞证明:

3、查看云南电信网上营业厅的订单查询条件,发现只要有手机号码、日期即可查询

中国电信云南用户订单信息泄漏4_20140923.jpg





4、抽1个号码验证下,果然只要有号码就可查询

中国电信云南用户订单信息泄漏5_20140923.jpg





5、同时,也没有图片码等防暴力破解的机制,如果按号段来批量查询,可能导致大量用户信息泄漏

修复方案:

1、增加订单查询条件,如订单号+号码、身份证号+号码、姓名+号码等组合方式

2、增加随机图片码防止批量获取

知识来源: www.wooyun.org/bugs/wooyun-2014-077117

阅读:138368 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“中国电信某省网上营业厅用户信息泄漏(订单、姓名、地址、号码、邮件)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云