当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2013-025223
漏洞标题：
阿里巴巴，淘宝，支付宝任意修改绑定手机号
相关厂商：
阿里巴巴
漏洞作者：
无可取代
提交时间：
2013-06-05 22:32
修复时间：
2013-07-20 22:33
公开时间：
2013-07-20 22:33
漏洞类型：
网络未授权访问
危害等级：
高
自评Rank：
10
漏洞状态：
厂商已经确认
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2013-06-05： 细节已通知厂商并且等待厂商处理中
2013-06-07： 厂商已经确认，细节仅向厂商公开
2013-06-17： 细节向核心白帽子及相关领域专家公开
2013-06-27： 细节向普通白帽子公开
2013-07-07： 细节向实习白帽子公开
2013-07-20： 细节向公众公开

简要描述：

登陆异常或重要操作时会弹出手机验证，恶意用户即使得到他人的账号和密码后，还是会被这个安全限制。此漏洞是在得到账户和密码后，不需要绑定的手机，依然可以解除手机绑定，甚至修改绑定手机为任意手机号，从而绕过了这个安全限制。只要得到账号和密码，就可以进行任意操作

详细说明：

1. 账户和密码登陆阿里巴巴，进入“账号设置”，点击修改登录手机或者取消手机验证，点击“获取验证码”，这时使用Fiddle拦截，会发现请求验证码会发送手机号码和账号名称，修改这两个信息为自己的，然后验证码就发到自己的手机上去了
2. 速度填上收到的验证码，点击“确定”，在使用Fiddle拦截请求，会发现还会发送手机号，再改为自己号码
3. 好了，绑定的手机就改成自己的了

漏洞证明：

QQ截图20130605213756.png

修复方案：

1.阿里巴巴，淘宝，支付宝还有相关客户端，在登录之前必须检查账户或登录地址是否异常，异常情况下都要求手机验证，而不能允许进入系统。（这个方案貌似这两天加上去了，原来阿里巴巴通过阿里助手登陆没有异常验证）
2.不要把用户手机号码等敏感的数据写在前端，更不要随意相信前端传上来的数据。
3. 检查整个子网站和客户端是否有类似安全问题

版权声明：转载请注明来源 无可取代@乌云

>

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：3

确认时间：2013-06-07 15:01

厂商回复：

感谢您对我们的关注与支持，该问题我们正在修复~ ^_^

最新状态：

暂无