FamilyMart 全家便利商店存有認證漏洞可存取他人帳號

Vulnerability Overview

ZDID: ZD-2019-00192
發信 Vendor: 全家便利商店股份有限公司
Title: FamilyMart 全家便利商店存有認證漏洞可存取他人帳號
Introduction: 可暴力破解簡訊密碼

處理狀態

目前狀態

公開

Last Update : 2019/04/27

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2019/02/25 17:05:50 : 新提交 (由 Bojack 更新此狀態)
2019/02/25 17:06:45 : 新提交 (由 Bojack 更新此狀態)
2019/02/25 17:07:39 : 新提交 (由 Bojack 更新此狀態)
2019/02/25 17:09:24 : 新提交 (由 Bojack 更新此狀態)
2019/02/25 17:19:24 : 新提交 (由 Bojack 更新此狀態)
2019/02/25 20:28:08 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2019/02/26 11:32:07 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2019/02/26 11:32:07 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2019/02/26 11:32:07 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2019/04/27 03:00:02 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2019-00192
通報者：bojack (Bojack)
風險：中
類型：邏輯漏洞 (Logic Flaws)

參考資料

攻擊者可經由該漏洞繞過網站邏輯行為進行惡意攻擊。

漏洞說明： OWASP - Testing for business logic
https://www.owasp.org/index.php/Testing_for_business_logic

漏洞說明： CWE-840: Business Logic Errors
https://cwe.mitre.org/data/definitions/840.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

從全家 App 可發現有登入會員功能，輸入手機號碼會自動識別是否已註冊，若已註冊則會出現登入密碼及忘記密碼功能，此時按下忘記密碼功能就會自動發送一組會員密碼到該門號，密碼為 6 位數字

此時在忘記密碼頁面試著輸入 000000，並使用 BurpSuite 觀察傳輸參數

藉由 BurpSuite 可發現只要準備一組 000000-999999 的文字檔，即可針對參數 Password 進行重覆測試驗證，只要發現回應封包的長度為 6802 則代表登入成功。本次測試為 POC 驗證，故僅以 12 組數字(第11組為正確密碼)驗證，代表即便錯誤了 10 次仍可在第 11 次驗證通過。