网易某分站存在验证缺陷可引发短信DDOS - 网站安

早上一来，看了下邮件，就点到**那块去了。可谁知点着点着就发现了这个。 刚好有段时间没来wooyun露面了，就提交到wooyun去吧。 详细说明：早上一来，看了下邮件，就点到彩票那块去了.....

逻辑是这样的： 是从这个页面引发的，兑换优惠劵时会让认证手机，问题就出现在认证手机上。 本来以为必须要有真实的兑换码才行呢(都准备把我的给贡献出来了呢)，可测试了下，输入四位以上数字即可。

http://caipiao.163.com/coupon/couponExchange. html 输入四位以上数字会让认证手机，输入手机号和验证码提交验证时，看下http request发现是通过这个地址来完成短信验证的：

http://caipiao.163.com/coupon/getCoupon_sendSms.html?mobile=手机号 手机号可以填任意手机号；时间限制完全是虚设啊。。。短信DDOS就这样引发了。

直接用这个地址来测试吧，填上你的手机号。 修复方案： 相信你们更专业。

查看更多关于网易某分站存在验证缺陷可引发短信DDOS - 网站安的详细内容...