邮箱图形验证码绕过漏洞及修复建议.pdfVIP

编号：wooyun-2013-025245

标题：139邮箱图绕过（目前图形的可预测案例）

相关厂商：139移动互联

作者：bl4de

提交时间：2013-06-0611:25

修复时间：2013-06-1111:26

公开时间：2013-06-1111:26

类型：未/权限绕过

危害等级：低

自评Rank：1

状态：已经厂商但是厂商忽略

：，疑问或需要帮助请联系[emailpr

otected]

Tags：无

详情

披露状态：

2013-06-06：细节已厂商并且等待厂商处理中

2013-06-11：厂商已经主动忽略，细节向公众公开

简要描述：

图验经常用于保护关键功能，防止程序自动化。139邮箱图验可轻易绕过，失去防护作用

详细说明：

139邮箱图验应用于多处，都是同一套图验。以上面页面中出现的图验为例，可使用简单

方法绕过

如上图，不用看图验内容，直接输入1.2.3.4或字母a,b,c,d任意一个，上图以c为例，第一

次输入后提交，会出现图验错误提示

抓包显示结果如上图所示，出现错误提示

此时不管错误提示，仍然以固定值c继续提交，大多时只要几次即可成功，进入下一步页面

此时抓包显示成功信息

同样，其它多处地方使用的图验，都可以使用同样方法绕过。大多只需要发送请求几次即可绕

过

证明：

同上

手工证明，可直接在

输入c，或数字2或3什么的，不用管错误提示

重复提交固定值，只需要几次即可绕过

会持续提交一些，希望能有

修复方案：

更专业，我的办法就不多说了