湖北移动支撑系统APP信息泄露导致登录CRM系统(可缴费)

  • 内容
  • 相关

漏洞详情

披露状态:

 

2016-05-01: 细节已通知厂商并且等待厂商处理中
2016-05-05: 厂商已经确认,细节仅向厂商公开
2016-05-15: 细节向核心白帽子及相关领域专家公开
2016-05-25: 细节向普通白帽子公开
2016-06-04: 细节向实习白帽子公开
2016-06-19: 细节向公众公开

简要描述:

所谓的4A就是集中统一的账号(Account)管理、授权(Authorization)管理、认证(Authentication)管理和安全审计(Audit),缺一不可。在这里结合具体情况谈谈在移动省公司或地级市公司建设4A项目的一些想法,仅供参考。

详细说明:

需要本人手机号和服务密码才可进行针对用户操作



可直接充值手机话费和宽带



现在已经无法下载了 管理员需要测试请私信我呢

http://

mask 区域
1.://**.**.**/HubeiESOPWEB/G3CRM_HuBei_Platform.apk





湖北 黄石地区

code 区域
mask 区域
*****lei*****
*****uha*****
*****gju*****
*****_hs*****
**********
[email protected]*****
[email protected]*****

 







登录4A

chenyuhan_hs/HS@@1234



Screenshot_2016-04-29-20-42-10-534.png





Screenshot_2016-04-30-20-40-46-189.png







code 区域
mask 区域
*****322*****

 

/服务密码后6位



Screenshot_2016-04-30-20-51-54-737.png







我测试了1元钱.希望原谅。。

Screenshot_2016-04-30-20-39-01-260.png

 

漏洞证明:

下载手机中国移动官方app 登录测试账号 查询缴费记录 已成功



Screenshot_2016-04-30-21-30-08-839.png

 

修复方案:

1.修复弱口令

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:8

确认时间:2016-05-05 20:02

厂商回复:

CNVD未复现所述情况,已经转由CNCERT向中国移动集团公司通报,由其后续协调网站管理部门处置。

最新状态:

暂无


本文标签:

版权声明:若无特殊注明,本文皆为《安三》原创,转载请保留文章出处。『鹦鹉搜索』

百度收录:百度已收录『查看详情』

本文链接:湖北移动支撑系统APP信息泄露导致登录CRM系统(可缴费) - https://www.15qq.cn/wooyun/731.html

发表评论

电子邮件地址不会被公开。 必填项已用*标注

允许邮件通知