手机淘支付宝实名认证证

来源：蜘蛛抓取(WebSpider) 时间：2014-12-08 19:34 标签： 手机支付宝实名认证
分享漏洞：
披露状态：
： 细节已通知厂商并且等待厂商处理中
： 厂商已经确认，细节仅向厂商公开
： 细节向核心白帽子及相关领域专家公开
： 细节向普通白帽子公开
： 细节向实习白帽子公开
： 细节向公众公开
简要描述：
淘宝手机某应用泄露绑定实名认证的支付宝的完整身份证号码和绑定的手机号
详细说明：
承认有点刷积分的嫌疑，不过确实是属于设计的小小瑕疵。
上面提供的是存在在网页版中
这个是存在在淘宝手机应用中
一处存在在手机淘宝客户端安卓版 版本：4.5.0 其他的没有测试
淘金币金币乐园中金币抢红包中参加淘旅行抽奖登记
另一存存在于淘宝旅行手机客户端中常旅客奖励中都是同一活动
提交个人信息会自动显示认证时的用户姓名和绑定的手机号，虽然身份证手机淘宝客户端中不显示，淘宝旅行客户端中部分打星号显示。不过淘宝旅行客户端点击确定抓包后发现提交的信息会完整显示出来包括了身份证号码。
通过研究发现这里同时都调用了一个API接口。
函数是mon.getAlipayIdCard
返回的信息中包含了用户真实姓名
加密后的身份证号码
淘宝旅行客户端另一个API
com.taobao.client.user.getUserInfo
会返回登录用户的支付宝信息
&alipay&:{&amount&:&0.00&,&bindMobile&:&false&,&katong&:&false&,&alipayAccount&:&&,&seesionId&:&0&}
应该是支付宝余额
绑定的手机号码
支付宝账号
漏洞证明：
API返回的信息
mon.getAlipayIdCard
{&api&:&mon.getAlipayIdCard&,&v&:&1.0&,&ret&:[&SUCCESS::调用成功&],&data&:{&name&:&&,&phone&:&&,&idCard&:&&}}
修复方案：
敏感信息打下码还是最好的。
版权声明：转载请注明来源 @
厂商回应：
危害等级：中
漏洞Rank：6
确认时间： 11:18
厂商回复：
感谢您的关注和支持，该漏洞我们正在修复！
最新状态：
漏洞评价：
对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值
漏洞评价(共0人评价):
登陆后才能进行评分
登录后才能发表评论，请先我淘宝想实名认证，到了发验证码那时候我的手机接收不到验证码，普通信息收的到，怎么回事？我号码没填错。_好搜问答
|注册&您有新任务，
我淘宝想实名认证，到了发验证码那时候我的手机接收不到验证码，普通信息收的到，怎么回事？我号码没填错。
被浏览137次
采纳率：47%
这是手机的问题，我手机也是的，我通过把卡换到别的手机上搞定的。 用微信扫描二维码分享至好友和朋友圈分享到：
下面是答答童鞋给您的小建议，您看靠谱吗？初来乍到，弄错了您不要生气哦(*^__^*)答答小贴士
等您帮助的附近的朋友换一换
大家都在搜好搜APP下载好搜摸字APP 随时随地随心搜索 用好搜， 特顺手！
第9天生活就像海洋，只有意志坚强的人才能达到生命的彼岸。知道了租用实名认证淘宝帐号 - 湛江手机号码 - 百姓网
更新提示：发现新版本浏览器，一样简单易用，速度提升30%不再显示&&关注百姓微信公众号，尽享快捷刷新、信息推送、抽奖活动等众多微信功能您只需要：1 &用微信“扫一扫”右边的二维码2 &在微信中“关注”我们&|&||||||租用实名认证淘宝帐号&提示信息设置为“搞定了！”状态后，其他用户将无法查看您的联系方式。您确认搞定了这条信息吗？提示重新发布后可使用“刷新”将发布时间更新为最新时间，并将信息排到第一页。&&11月21日 0:18 &...次浏览 &信息编号： &价格：15元元地区：1587592****号码归属地：湛江&&百姓网号码保护功能介绍&&拨打百姓400转呼电话绝不收取您任何额外费用，该信息发布人仍能看到您的来电号码。联系时，请一定说明在百姓网看到的，谢谢！见面最安全，发现问题请举报。来源：个人
实名认证，信用两个心以上。只要淘宝帐号&&和密码，支付宝的帐号和密码不要该用户其他信息14年9月5日&霞山15元
反馈建议描述：请填写描述手机号：请填写手机号请填写手机号我的新手机号码已经注册了淘宝号了,身份证,姓名全是别人的,我想实名认证,怎么把_百度知道
我的新手机号码已经注册了淘宝号了,身份证,姓名全是别人的,我想实名认证,怎么把
我想实名认证然后在网上卖自己的闲置品怎样把身份证号码，姓名改成自己的，但是没办法弄好
提问者采纳
这个不行哦 只能认证为别人的名字，如果你要认真自己的 可以重新注册
但是实名认证的时候显示：必须使用以柳莉莉为开户名的银行卡进行认证，柳莉莉就是我的淘宝号上的户名，没办法认证。如果要重新注册，会不会显示已经注册过，不让再注册啊？
用户名可以另取一个用户名，只要能提供本人身份证扫描件，就可以认证成功！前提是你的身份证以前没在淘宝认证过！
提问者评价
虽然最后还是没有成功，但还是谢谢了
其他类似问题
按默认排序
其他6条回答
你好，淘宝不可以把身份证号码，姓名改成自己的，建议你重新弄一个用自己的身份证弄
让那人变更手机号，你的手机就自动解绑了。
这个手机号现在是我的，我也不知道到哪里去找这个我淘宝账号上的人哪
淘宝登录时有个忘记密功能，输入手机号，找回密码。
只能重新注册个淘宝账号了。
但是还要用这个手机号码注册啊，会不会显示已经注册过，不能再次注册啊？
你现在的支付宝账号是你手机号码吗？如果是，那不能注册了。不是就可以。
是我的手机号码，但是户名不是我。那就没有解决的办法了吗？
换手机号码注册就行了。没办法了。
建议重新弄一个了
不专业的回答一下，打淘宝客服，找人工
身份证不可以重新改信息的
您可能关注的推广回答者：回答者：
实名认证的相关知识
为您推荐：
等待您来回答
下载知道APP
随时随地咨询
出门在外也不愁

我要回帖

更多关于 手机支付宝实名认证 的文章

 

随机推荐