分享漏洞：
披露状态：
： 细节已通知厂商并且等待厂商处理中
： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
优购物网可使用任意手机号码注册账号，重置账户密码
详细说明：
1.先来看第一个问题，这里可以忽略服务器下发的手机验证码，使用他人手机号注册账户
本来作者以为这里只存在爆破4位手机验证码，使用别人手机号注册账户。下面贴一张爆破4位验证码来成功注册的截图
但是，后来一分析，发现更大的问题，可以不用爆破4位验证码也能做到，我发现，sms_code和对应的验证码是一一对应关系，手机号可以随便填，也就是说，手机号和验证码在后台不会作绑定验证
提出疑问：
作者先拿闲置的手机，3958结尾的号码作实验，手机收到的验证码4117，然后为了确认这个问题，用3957的手机burp遍历一遍，看是不是验证码还是4117（sms_code不变的情况下）
结果还真是
再拿3955的手机号来验证一下，burp重放包，问题依然如此（这次换一个sms_code，拿3958手机收到的验证码再注册3955的账户）
3955登陆成功
作者又另外实验得出，用过的验证码可以重复使用，来给其他手机号注册。但是改了sms_code,验证码就不能通过了
2.重置其他账户密码的问题，这里的更好绕过，直接抓包改手机号就能重置了
验证，先找到一个真实用户注册过的8590结尾的账户
然后先用自己3958的手机号和收到的验证码一路正常提交，通过验证码检查后，改变手机号，重置密码成功
也很严重的问题呢！
漏洞证明：
1.先来看第一个问题，这里可以忽略服务器下发的手机验证码，使用他人手机号注册账户
本来作者以为这里只存在爆破4位手机验证码，使用别人手机号注册账户。下面贴一张爆破4位验证码来成功注册的截图
但是，后来一分析，发现更大的问题，可以不用爆破4位验证码也能做到，我发现，sms_code和对应的验证码是一一对应关系，手机号可以随便填，也就是说，手机号和验证码在后台不会作绑定验证
提出疑问：
作者先拿闲置的手机，3958结尾的号码作实验，手机收到的验证码4117，然后为了确认这个问题，用3957的手机burp遍历一遍，看是不是验证码还是4117（sms_code不变的情况下）
结果还真是
再拿3955的手机号来验证一下，burp重放包，问题依然如此（这次换一个sms_code，拿3958手机收到的验证码再注册3955的账户）
3955登陆成功
作者又另外实验得出，用过的验证码可以重复使用，来给其他手机号注册。但是改了sms_code,验证码就不能通过了
2.重置其他账户密码的问题，这里的更好绕过，直接抓包改手机号就能重置了
验证，先找到一个真实用户注册过的8590结尾的账户
然后先用自己3958的手机号和收到的验证码一路正常提交，通过验证码检查后，改变手机号，重置密码成功
也很严重的问题呢！
修复方案：
后台增加验证机制，手机号，验证码，sms_code三码合一
增加验证码位数，限制使用时间，限制尝试次数等
版权声明：转载请注明来源 @
厂商回应：
危害等级：无影响厂商忽略
忽略时间： 11:10
厂商回复：
最新状态：
漏洞评价：
对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值
漏洞评价(共0人评价):
登陆后才能进行评分
这个早就有人提了忽略过了。。。
感谢您的关注，因为前段时间登录邮箱不及时，未能及时认领处理。目前该漏洞已经修复。
VLWB那个验证码可以重复使用是吗？
@北京优购文化发展有限公司
你是漏洞修复了，那我写这么多，为了什么，0rank，能尊重一下白帽子的劳动么
登录后才能发表评论，请先亲们，我手机淘宝登录时忘记了密码，用手机又重新注册不了，，，所以用不了购物车，也就保存不了看中的商_百度知道
亲们，我手机淘宝登录时忘记了密码，用手机又重新注册不了，，，所以用不了购物车，也就保存不了看中的商
亲我手机淘宝登录忘记密码用手机重新注册所用购物车保存看商品烦恼我想自看宝贝都加入购物车便选择性购买要加入购物车定要先登录其办亲求帮我
我有更好的答案
注册简单呐定要手机号码保存直接收藏何必弄购物车
收藏也要密码
我知道，就是简单注册，就可以了
亲，我手机不可以注册啊。
那就电脑上注册吧，然后在手机登不就可以了
那你可以帮忙吗，帮我在电脑上注册一个，跪谢！
这，好吧，一会有空帮你注册个吧
我qq一会我注册的时候要找你
其他类似问题
为您推荐：
手机淘宝的相关知识
等待您来回答
下载知道APP
随时随地咨询
出门在外也不愁下午刚在建行办的银行卡，并开通网银，回家后购物输入的手机后四位不正确，但明明就是这个手机号，求解。_百度知道
下午刚在建行办的银行卡，并开通网银，回家后购物输入的手机后四位不正确，但明明就是这个手机号，求解。
提问者采纳
建行落实或者95533咨询
来自团队：
其他类似问题
为您推荐：
其他3条回答
我遇要银行办理手机号更改新登记遍手机号
什么手机后四位啊，是网上银行登录密码还是网盾口令啊
网上银行购物都是需要输入密码的
开通网银的相关知识
等待您来回答
下载知道APP
随时随地咨询
出门在外也不愁}