2014-04-08:细节已通知厂商并且等待厂商处理中
2014-04-08:厂商已经确认,细节仅向厂商公开
2014-04-18:细节向核心白帽子及相关领域专家公开
2014-04-28:细节向普通白帽子公开
2014-05-08:细节向实习白帽子公开
2014-05-23:细节向公众公开
代理商平台存在支付缺陷 不需要(密码验证)即可消费。
发现一百二十万的账户,提现发财了= =
说好了不聊群里聊漏洞的,说好了,休息会儿的!手抽筋啊 !手贱啊!
还是进入代理商平台了!
WooYun: 新网某运营平台存在弱口令(部分域名解析、空间等安全)
都是店小二惹得祸,
(调侃下 请记住我是xinnet的店小二,请记住我的密码是123456)
……
此处省略,一百二十万的账户,提现发财了= =
http://agent.xinnet.com/index.do?method=index
提供一个账号agent36416 代理密码:123456qq 公开请删除!
漏洞证明:
修复方案:
1、会员模板资料资料提交里 有多个注入点
2、会员消费 没有验证机制!无论金额多大,消费多少,消费何种产品,缺乏验证机制!直接消费。
3、域名 解析的密码 ,邮局登陆的密码,均可直接设置,缺乏验证机制!
任何平台只要涉及到支付交易,就应该有验证机制。
4、平台中填写的个人敏感信息应该做隐藏处理
危害等级:高
漏洞Rank:15
确认时间:2014-04-08 10:57
厂商回复:漏洞已收到,正在玩命确认及修复中,多谢不痛不痒@乌云。
最新状态:暂无