分享漏洞：
披露状态：
： 细节已通知厂商并且等待厂商处理中
： 厂商已经确认，细节仅向厂商公开
： 细节向核心白帽子及相关领域专家公开
： 细节向普通白帽子公开
： 细节向实习白帽子公开
技术验证，该漏洞在报告 659 天后已经确认修复。
： 距漏洞提交 660 天仍未修复，漏洞细节暂不对公众公开。
简要描述：
可返回机主真实姓名和当前余额,对比了广东和北京分公司的充值接口不一样，不能确定其他公司是否此问题。
详细说明：
在北京移动官网的充值页面提交充值号码后，可返回机主真实姓名和当前余额。对比了广东和北京分公司的充值接口不一样，不能确定其他公司是否此问题。
1、浏览器打开 http://**.**.**.**/service/fee/czjf/ 默认用银行卡充值，输入北京地区的手机号、验证码——开始充值。
2、浏览器自动跳转到选择银行界面，发现有个上传报文返回了机主姓名和余额，如图
3、此时在浏览器直接打开“http://**.**.**.**/paymentAction.do?method=queryBalance2&payPhone=
”链接就能看到任何手机号的机主姓名。
通过这个方法能查到北京地区的机主信息，其他地区的手机号不可以。
漏洞证明：
修复方案：
版权声明：转载请注明来源 @
厂商回应：
危害等级：中
漏洞Rank：7
确认时间： 00:06
厂商回复：
CNVD确认并复现所述情况（不安全参数引用），已经转由CNCERT直接通报给中国移动集团公司处置。
最新状态：
漏洞评价：
对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值
漏洞评价(共0人评价):
登陆后才能进行评分
简要描述给力..成功复现..- -
遍历一遍又是个社工库，赶快处理吧
其他省份大多数存在，之前我测试过，但是没认为是漏洞 没有提交，和你的接口不一样。
@ 东北很多地方作了处置 只显示 **中
@abaddon 显示***也是最近的事情，一个月前绝对不是 哈哈
@ 我是去年春节的时候发现就变了
登录后才能发表评论，请先知道机主姓名，手机号 怎么查询身份证号_百度知道
知道机主姓名，手机号 怎么查询身份证号
我有更好的答案
可以的，具体方法请看我的头像，绝对能帮你找到
不好做这个的，认识一个内行懂这个，他做这个很厉害的哦，点下面就晓得了He looked up and I saw this terrible sadness in his eyes. So, I jogged over to him and as he crawled around looking for his glasses, and I saw a tear in his eye. As I handed him his glasses, I said, &Those guys are jerks. They really should get lives.
其他类似问题
为您推荐：
等待您来回答
下载知道APP
随时随地咨询
出门在外也不愁怎么查询手机号的机主姓名_百度知道
怎么查询手机号的机主姓名
提问者采纳
让她告诉你姓名假装核对下，。报给营业员手机号码。，然后你就推迟说不交了或者是姓名错了。，假装要交话费去营业厅。
在此期间就可以查询的号码的机主姓名
希望能够帮到你，希望能够采纳，谢谢。
其他类似问题
为您推荐：
个体工商户的相关知识
等待您来回答
下载知道APP
随时随地咨询
出门在外也不愁怎么查询手机号的机主姓名_百度知道
怎么查询手机号的机主姓名
我有更好的答案
你就可以脱身了，有范围限制、如果你想知道他全名的话，当要求你输入要冲值的手机号码时，哦、但是接下来的话，你将那号码输上。
2，会显示机主的姓和余额，我们就说、不过银行卡冲值这办法是限定办卡地区的。
5，我们可不想给这陌生人冲话费。我是帮我谁谁谁冲话费的，你可以去营业厅，假装要冲电话费。
4，出来发票就显示机主全名，也可以假装打电话过去。 7，你将号码输上后。另外一种在有自动缴费机的地方，是不是叫谁谁谁。
3。会显示你要冲值的人的姓名、你把你想知道的号码报一遍，搞错了、最后一种是用银行卡在网上进行冲值时，营业员会问你，说号码不对啊什么，就帮他冲个10元方法&#47、第一种方法，这时你已经得到你所要知道的机主姓名了、上面是最简单的方法;步骤（转自网络） 1
这个属于个人隐私，一般非公安、法院等机关是不能查的。
其他类似问题
为您推荐：
等待您来回答
下载知道APP
随时随地咨询
出门在外也不愁}