中国邮政某处设计不当可再次遍历百万用户信息下载

来源：黑吧安全网　浏览：546次　时间：2014-06-12

中国邮政某处设计不当可再次遍历百万用户信息

用户依旧，不同的姿势
遍历真实姓名、性别、手机号码、所在地详细至街道门牌号

昨天收到了一条来自中国邮政的站内，说是已经修改了应用，让我测试下漏洞是否还存在

我看了一下，之前提交的这个确实修复了..

但是厂商既然联系了，我也就花下时间再继续测试下去，

结果..发现新问题，以新姿势再次遍历用户信息..

演示过程如下：

首先，我使用邮箱注册，注册了一个帐号

点击确认注册，提示：系统已向您的邮箱XXXXX@qq.com发送了一封验证邮件，请您登录邮箱，点击邮件中的链接完成邮箱验证。如果您超过2分钟未收到邮件，您可以重新发送激活邮件.

然后此时邮箱接收到了：请点击连接

http://it.11185.cn:80/chinapostintegrate/emailActivation.a?mailMassage=009977&sendEmail=XXXXXX@qq.com'激活邮箱

点击访问一下这个链接，跳转到

http://it.11185.cn/chinapostintegrate/emailActivation.a?mailMassage=009977&sendEmail=XXXXXqq.com&contactId=1157123

注意一下这里，上面浏览器的地址栏有一个参数：contactId=1157123

我修改一下这个ID，然后按Enter键直接再进行访问，这里以修改contactId为100000为例

提示系统异常，抱歉，运行时内部错,操作失败！请稍后再试或与管理员联系！

但是当我点击后退，再进行下一步的时候，奇迹发生了..

点击后退，跳转回之前的页面..