中国石化某站点可撞库借助PKAV神器

2017年4月18日11:28:01评论276 views字数 232阅读0分46秒阅读模式

摘要

2016-02-28：细节已通知厂商并且等待厂商处理中
2016-03-01：厂商已经确认，细节仅向厂商公开
2016-03-11：细节向核心白帽子及相关领域专家公开
2016-03-21：细节向普通白帽子公开
2016-03-31：细节向实习白帽子公开
2016-04-15：细节向公众公开

漏洞概要关注数(32) 关注此漏洞

缺陷编号： WooYun-2016-179282

漏洞标题：中国石化某站点可撞库借助PKAV神器

漏洞作者：小哲哥

提交时间： 2016-02-28 14:21

公开时间： 2016-04-15 16:31

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank： 20

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签：敏感接口缺乏校验手机短信/敏感功能未限制次数

2人收藏

漏洞详情

披露状态：

简要描述：

小洞小洞，早上成功了一个用户

详细说明：

code 区域

http://mall.chemicals.sinopec.com/

PKAV-誓与AV抢宅男！

神器有验证码识别功能，一般验证码我也不想用，但是...这站点的登录的验证码...明白这是神器发挥功效的时候！

破解了一个账号wd密码123456

漏洞证明：

code 区域

http://mall.chemicals.sinopec.com/

PKAV-誓与AV抢宅男！

神器有验证码识别功能，一般验证码我也不想用，但是...这站点的登录的验证码...明白这是神器发挥功效的时候！

破解了一个账号wd密码123456

修复方案：

换个验证码吧

版权声明：转载请注明来源小哲哥@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2016-03-01 16:31

厂商回复：

谢谢！我们会尽快整改。

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

2016-02-28 15:26 | 坏男孩-A_A ( 实习白帽子 | Rank:81 漏洞数:23 | 膜拜学习中)

1

好广告~~~说说是什么神器呗？

1# 回复此人
2016-02-28 15:29 | #6c6c6c ( 普通白帽子 | Rank:305 漏洞数:52 | 像一条狗孤独的活着，渴望的活着，绝望的活...)

1

@坏男孩-A_A 验证码识别那个，肯定是的

2# 回复此人
2016-02-28 15:32 | 小哲哥 ( 路人 | Rank:30 漏洞数:17 | http://www.fkgeek.com)

2

@坏男孩-A_A pkav呀！誓与AV抢宅男！

3# 回复此人
2016-02-28 15:33 | 小哲哥 ( 路人 | Rank:30 漏洞数:17 | http://www.fkgeek.com)

2

@#6c6c6c 对的，能识别验证码

4# 回复此人
2016-02-28 15:43 | 坏男孩-A_A ( 实习白帽子 | Rank:81 漏洞数:23 | 膜拜学习中)

2

@小哲哥 @小哲哥誓与AV抢宅男！我喜欢~~~

5# 回复此人
2016-05-24 21:55 | jye33 ( 普通白帽子 | Rank:1340 漏洞数:310 | 没有什么能够阻挡，我对静静的向往)

0

求神器

6# 回复此人
2016-06-02 11:20 | 小哲哥 ( 路人 | Rank:30 漏洞数:17 | http://www.fkgeek.com)

0

@jye33 PKAV官网有下载的，其实就是中文版的brupsuite，只不过是线程数和发送规则等等比brupsuite好用些

7# 回复此人

漏洞概要 关注数(32) 关注此漏洞

缺陷编号： WooYun-2016-179282

漏洞标题： 中国石化某站点可撞库借助PKAV神器

相关厂商： 中国石油化工股份有限公司

漏洞作者： 小哲哥