1号店暴力破解,测试1万帐号,成功破解125个

编号14186
Urlhttp://www.wooyun.org/bug.php?action=view&id=14186
漏洞状态厂商已经确认
漏洞标题1号店暴力破解,测试1万帐号,成功破解125个
漏洞类型账户体系控制不严
厂商1号店
白帽子lijiejie
提交日期2012-11-01 16:29:00
公开日期2012-12-16 16:30:00
修复时间(not set)
确认时间2012-11-01 00:00:00
Confirm Spend0
漏洞标签
关注数0
收藏数0
白帽评级
白帽自评rank20
厂商评级
厂商评rank10
漏洞简介
1号店存在严重的暴力破解漏洞。 使用流出的CSDN 600万帐号做字典,测试1万帐号,成功破解125个。扫完600万帐号只需要几小时。
漏洞细节

手机版的一号店、一号商城,登录页没有防止机器提交。
http://m.yihaodian.com/mw/login
http://m.1mall.com/mw/login
我使用流出的CSDN 600万帐号做字典,
加载第1万到2万行,测试1万个帐号,成功破解了125个。
而扫完600万个帐号,即使在一台PC上,也只需要几小时。
另:登录错误提示不必那么完整。
例如,使用一个不存在的帐号登录,不应该提示“帐号不存在”。
“帐号或密码错误”是更好的选择。
这样攻击者也不能立即判断,这个帐号是否是存在的。
PS,新用户注册的地方,验证码稍微弱了一点。

POC

修复方案

1. 手机网站增加验证码。 当一个IP登录错误率得到上限,例如80%。强制要求输入验证码。
2. 修改登录错误提示。
3. 建议安全团队使用网上流出的帐号(密码)扫数据库,对于密码已经泄露的用户,短信和Email提示,并临时禁用其帐号。

状态信息 2012-11-01: 细节已通知厂商并且等待厂商处理中
2012-11-01: 厂商已经确认,细节仅向厂商公开
2012-11-11: 细节向核心白帽子及相关领域专家公开
2012-11-21: 细节向普通白帽子公开
2012-12-01: 细节向实习白帽子公开
2012-12-16: 细节向公众公开
厂商回复感谢lijiejie提供漏洞信息。
回应信息危害等级:中漏洞Rank:10 确认时间:2012-11-01 16:38
Showing 1-6 of 6 items.
评论内容评论人点赞数评论时间

西工大。LIJIEJIE。。牛逼!~~~~大哥好

black hook02012-12-05 21:19:00

这个修复方案不错

Blackeagle02012-12-02 09:12:00

统一密码害死人啊……我觉得CSDN应该把泄露出来的用户信息处理后发给各大网站,让他们自己扫一遍还有谁是潜在的受害者

LittlePig02012-11-01 18:29:00

这个很赞!

xsser02012-11-01 18:18:00

余威还在啊

zidane02012-11-01 16:54:00

之前csdn的随便找几个都能登录对应支付宝还能转账的,那部分害人大了

小胖胖要减肥02012-11-01 16:32:00