[公开漏洞]顺丰速运网站查询签收图可导致用户隐私泄露

顺丰速运网站查询签收图可导致用户隐私泄露 相关厂商： 顺丰速运 漏洞作者：Duron 提交时间：2014-05-21 11:10 公开时间：2014-07-05 11:10 漏洞类型：内容安全 危害等级：高 自评Rank：18 漏洞状态： 厂商已经确认 漏洞来源：http://www.wooyun.org Tags标签： 无 漏洞详情 披露状态：

2014-05-21：细节已通知厂商并且等待厂商处理中
2014-05-21：厂商已经确认，细节仅向厂商公开
2014-05-31：细节向核心白帽子及相关领域专家公开
2014-06-10：细节向普通白帽子公开
2014-06-20：细节向实习白帽子公开
2014-07-05：细节向公众公开

简要描述：

顺丰速运网站快件追踪中有一个签收图功能，可能导致寄件方和收件方地址、电话等信息泄露

详细说明：

没有通过验证就能获取到加密地址，短信验证形同虚设

http://kf.sf-express.com/css/myquery/queryWQSBill.action#

漏洞证明：

随便拿我之前一个单号，我不验证手机短信，看我怎么取得面单扫描图



图片加密地址就包含在隐藏表单中，一段js就能获取到

然后到图片查询网址，输入加密串，就能看到签收图了，双方地址电话姓名一览无余

修复方案：

图片加密编号不要直接放在页面上，而要通过短信验证过后的json返回到前端，这样就没办法在页面中直接获取到了

版权声明：转载请注明来源 Duron@乌云 漏洞回应 厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-05-21 12:00

厂商回复：

谢谢提醒，问题确实存在，我们会尽快整改。

最新状态：

暂无