平安证券自主开户客户端存在任意用户信息篡改漏洞

详细说明:

1、打开应用点击“马上开户”-“我知道了”,登录账户 2、未注册过的手机登录时,验证码可爆破。但是这个只是任意用户注册,是另外一个漏洞了。 3、新手机注册登录后,需要上传身份证信息,这里获取身份信息存在问题,获取不到姓名时,默认填充“姓名”,这也不是我们的关键 4、下一步填写用户资料,后抓包

5、统一协议后设置,交易密码,这里密码明文传输,也是醉了,但这个漏洞也不是重点。 6、要求录入银行卡号,再一次明文传输银行卡号,而且不验证户主信息。这个漏洞也不提。 7、下面是一个调查问卷,随便填一下,完成测评。核对信息也随便填一下“确定”。 8、太好了,抓包,看重点。这个包只在首次信息录入的时候能抓到:https://ay.pingan.com

9、burp中选中改数据包"send to Intruder",修改包内容为目标内容

10、设置遍历user_id,当前用户user_id=3507887

11、点击右上角start attack

12、显示修改成功,为了验证修改任意用户都可以成功,所以找了两个手机号。换一个手机登陆后,不需要输入身份信息,只是密码设置、银行卡、调查问卷,然后就进入了最终视频认证界面。

13、抓包显示受害用户上传给服务器的个人信息已经被篡改了。且受害用户根本不知情,视频认证也是没有声音的。user_id=3504596

14、最终受害用户不能完成认证,还完全不知道是因为自己的账户信息被篡改了。

漏洞证明:

修复方案:

1、录入身份信息做校验~~~ 2、服务器做用户权限控制~~ 3、服务器对用户提交数据做防篡改校验~~~ https≠铜墙铁壁~~亲~~

原文发布于微信公众号 - 我为Net狂(dotNetCrazy)

原文发表时间:2015-10-28

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏FreeBuf

详细分析使用Certutil解码的Office恶意软件

最近发现使用certutil进行解码的office恶意软件,这种恶意软件通过OLE机制落地通过BASE64编码的恶意软件,然后通过调用certutil来进行解码...

28740
来自专栏FreeBuf

3步以内利用中间人MitM攻击从RDP连接中获得密码

今天和大家分享个小技术,简单几步通过执行MitM攻击同时从RDP连接中提取明文凭据。我这里使用的测试环境是Linux(1台)、Windows(2台),此环境仅供...

21630
来自专栏FreeBuf

黑客利用GitHub将恶意软件推送至用户电脑以盗取凭据

几个月前,我们曾发布了有关网络罪犯如何使用GitHub在被黑网站上加载各种加密货币矿工的报告文章。不幸的是即便如此,我们依然没能阻止网络罪犯们的脚步。如今,我们...

37270
来自专栏安恒信息

“永恒之蓝”勒索病毒安全事件应急指导手册(附工具包)

相关说明 北京时间2017年05月12日,安恒信息监测到黑客利用NSA黑客武器库泄漏的“永恒之蓝”工具发起的网络攻击事件:大量服务器和个人PC感染病毒后被远程控...

39270
来自专栏blackpiglet

Discourse 搭建

Discourse 是由 Stack Overflow 创始人之一的 Jeff Atwood 主导的开源论坛项目,使用时能感受到和 Stack Overflow...

34320
来自专栏FreeBuf

从某电商钓鱼事件探索黑客“一站式服务”

深信服EDR安全团队,整理分析了一起某电商钓鱼事件,通过关联信息,发现背后可能存在一个“产业链齐全”的黑客团伙,研究发现其具备“一站式服务”的黑客攻击手段。

14830
来自专栏安恒信息

窥探家庭网络的恶意木马

近几年,我们已经看到了很多关于家庭路由器遭受攻击的报道。攻击路由器的恶意软件会将用户的上网访问重定向到各种恶意站点,其他的攻击方式还包括植入后门和DNS劫持。在...

25750
来自专栏FreeBuf

Palo Alto Networks:新型恶意软件家族Reaver与SunOrcal存在一定联系

概要 Unit 42安全小组已经发现了一种新的恶意软件家族,并将其命名为“Reaver”。研究人员表示,这一新型恶意软件与在2016年针对中国台湾地区的黑客攻击...

26250
来自专栏安恒网络空间安全讲武堂

RFID技术|门禁卡破解|IC卡破解学习过程

安全不仅仅包含网络上的安全,在我们实际生活中也同样存在很多个安全相关的事物,可以说跟科技扯上关系的事物都会有安全问题,无线,蓝牙,手机,无人机,汽车。真正有问题...

44.5K50
来自专栏农夫安全

安全的盲区----失效的DNS解析记录

1、一个日常工作中经常出现的场景 假如A公司起步时,将全部服务器放置于云主机上。 其中一个业务为java.farmsec.com,随着这家公司的业务扩大以及调...

38380

扫码关注云+社区

领取腾讯云代金券