链家旗下自如网用户/员工信息全泄露

来源：自学PHP网时间：2015-04-16 23:15 作者：阅读:次

[导读] 一接口无任何权限控制，可以获取任意员工和租客全部资料。全部资料包括：邮箱、手机、身份证号码、家庭住址、婚否、工作职位（员工），公司，安全问题，安全问题答案存在于找...

一接口无任何权限控制，可以获取任意员工和租客全部资料。

全部资料包括：

邮箱、手机、身份证号码、家庭住址、婚否、工作职位（员工），公司，安全问题，安全问题答案..

存在于找回密码页面：http://www.ziroom.com/?_p=sign&_a=weakpassowrd&step=1&type=forgetpassword

接口：

http://www.ziroom.com/index.php?_p=api&_a=customer&type=search&login_name=158xxxxxxxx

可利用手机号遍历全部资料，无频度控制

返回值（测试的是一外面公开的员工手机号）：

直接打开上面url即可

修复方案：

这里只需要知道手机号是否存在，不用返回全部信息。建议对该接口做在线状态校验或权限控制

更多文章推荐