搜索

[8726] 2015-03-07_【漏洞盒子】保险信息安全报告：多家知名保险公司网站存在严重安全漏洞

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-17
2015-03-07_【漏洞盒子】保险信息安全报告：多家知名保险公司网站存在严重安全漏洞 【 漏 洞 盒 子 】 保 险 信 息 安 全 报 告 ： 多 家 知 名 保 险 公 司 网 站 存 在 严 重 安 全 漏 洞 漏 洞 盒 子   F r e e B u f   2 0 1 5 - 0 3 - 0 7 微 信 号 ： 微 信 号 ： f r e e b u f 对 于 拥 有 大 量 用 户 敏 感 数 据 、 业 务 办 理 逐 步 转 向 线 上 的 保 险 行 业 来 说 ， 其 信 息 安 全 问 题 值 得 关 注 。 漏 洞 盒 子 白 帽 子 对 于 拥 有 大 量 用 户 敏 感 数 据 、 业 务 办 理 逐 步 转 向 线 上 的 保 险 行 业 来 说 ， 其 信 息 安 全 问 题 值 得 关 注 。 漏 洞 盒 子 白 帽 子 发 现 ， 大 地 保 险 、 北 大 方 正 人 寿 、 合 众 人 寿 在 内 的 多 家 保 险 公 司 均 存 在 严 重 安 全 漏 洞 ， 用 户 保 单 数 据 存 在 泄 露 风 发 现 ， 大 地 保 险 、 北 大 方 正 人 寿 、 合 众 人 寿 在 内 的 多 家 保 险 公 司 均 存 在 严 重 安 全 漏 洞 ， 用 户 保 单 数 据 存 在 泄 露 风 险 。 险 。 现 在 买 保 险 基 本 都 网 上 办 了 ， 保 单 中 个 人 信 息 也 很 全 （ 姓 名 、 身 份 证 、 手 机 、 地 址 啥 都 有 ） ， 这 些 数 据 一 旦 泄 露 ， 现 在 买 保 险 基 本 都 网 上 办 了 ， 保 单 中 个 人 信 息 也 很 全 （ 姓 名 、 身 份 证 、 手 机 、 地 址 啥 都 有 ） ， 这 些 数 据 一 旦 泄 露 ， 后 果 很 严 重 。 后 果 很 严 重 。 北 大 方 正 人 寿 保 险 保 单 详 情 任 意 查 看 漏 洞 ， 千 万 级 保 单 数 据 存 泄 露 风 险 （ 包 括 用 户 姓 名 、 身 北 大 方 正 人 寿 保 险 保 单 详 情 任 意 查 看 漏 洞 ， 千 万 级 保 单 数 据 存 泄 露 风 险 （ 包 括 用 户 姓 名 、 身 份 证 、 手 机 、 地 址 等 ） 份 证 、 手 机 、 地 址 等 ） 涉 及 企 业 涉 及 企 业 北 大 方 正 人 寿 保 险 有 限 公 司 于 2 0 0 2 年 1 1 月 2 8 日 正 式 成 立 ， 总 部 设 立 在 上 海 ， 专 为 社 会 大 众 提 供 各 类 人 寿 、 健 康 、 和 人 身 意 外 伤 害 保 险 等 产 品 。 漏 洞 描 述 漏 洞 描 述 据 漏 洞 盒 子 白 帽 子 提 供 的 漏 洞 报 告 ， 北 大 方 正 人 寿 网 站 系 统 存 在 保 险 订 单 任 意 查 看 、 任 意 手 机 号 码 注 册 绕 过 等 安 全 据 漏 洞 盒 子 白 帽 子 提 供 的 漏 洞 报 告 ， 北 大 方 正 人 寿 网 站 系 统 存 在 保 险 订 单 任 意 查 看 、 任 意 手 机 号 码 注 册 绕 过 等 安 全 问 题 ， 可 导 致 千 万 级 保 单 数 据 存 泄 露 ， 内 容 包 括 姓 名 、 性 别 、 身 份 证 、 地 址 、 手 机 、 保 费 等 。 问 题 ， 可 导 致 千 万 级 保 单 数 据 存 泄 露 ， 内 容 包 括 姓 名 、 性 别 、 身 份 证 、 地 址 、 手 机 、 保 费 等 。
修 复 建 议 修 复 建 议 查 看 保 单 信 息 时 ， 严 格 控 制 访 问 权 限 合 众 人 寿 保 险 在 线 保 险 订 单 任 意 查 看 订 单 、 保 单 以 及 越 权 删 除 订 单 漏 洞 ， 海 量 保 单 数 据 存 泄 合 众 人 寿 保 险 在 线 保 险 订 单 任 意 查 看 订 单 、 保 单 以 及 越 权 删 除 订 单 漏 洞 ， 海 量 保 单 数 据 存 泄 露 风 险 （ 包 括 用 户 姓 名 、 身 份 证 、 手 机 、 地 址 等 ） 露 风 险 （ 包 括 用 户 姓 名 、 身 份 证 、 手 机 、 地 址 等 ） 涉 及 企 业 涉 及 企 业 合 众 人 寿 保 险 股 份 有 限 公 司 （ 以 下 简 称 合 众 人 寿 ） 是 经 中 国 保 险 监 督 管 理 委 员 会 批 准 的 一 家 综 合 性 人 寿 保 险 公 司 。 企 业 性 质 为 全 国 性 、 股 份 制 寿 险 公 司 。 作 为 综 合 性 人 寿 保 险 公 司 ， 公 司 可 经 营 一 切 人 身 险 险 种 （ 含 各 种 法 定 保 险 ） 。 漏 洞 描 述 漏 洞 描 述
1 . 任 意 订 单 ， 保 单 ， 个 人 信 息 遍 历 查 看 漏 洞 任 意 订 单 ， 保 单 ， 个 人 信 息 遍 历 查 看 漏 洞 订 单 以 及 保 单 信 息 均 可 任 意 查 看 订 单 以 及 保 单 信 息 均 可 任 意 查 看 订 单 内 信 息 订 单 内 信 息 2 . 越 权 删 除 他 人 订 单 漏 洞 越 权 删 除 他 人 订 单 漏 洞 据 漏 洞 盒 子 白 帽 子 提 供 的 漏 洞 报 告 ， 该 漏 洞 将 导 致 用 户 可 越 权 查 看 其 他 人 的 订 单 号 以 及 保 单 号 ， 同 时 可 以 删 除 其 他 人 订 单 ， 恶 意 利 用 可 以 造 成 客 户 订 单 被 删 除 ， 引 起 客 户 流 失 问 题 。 正 常 删 除 操 作 正 常 删 除 操 作
修 改 删 除 请 求 ， 实 现 删 除 他 人 订 单 修 改 删 除 请 求 ， 实 现 删 除 他 人 订 单 订 单 被 删 除 订 单 被 删 除 安 全 建 议 安 全 建 议 1 、 逻 辑 层 面 注 意 权 限 检 查 和 控 制 ， 不 用 明 文 传 输 用 户 标 示 进 行 验 证 。 2 、 应 用 在 进 行 任 何 操 作 后 的 传 递 或 者 查 询 数 据 时 ， 应 反 复 检 查 用 户 权 限 是 否 正 确 宜 信 保 险 订 单 金 额 修 改 漏 洞 ， 宜 信 保 险 订 单 金 额 修 改 漏 洞 ，   1 毛 钱 买 毛 钱 买 1 6 0 0 0 元 的 保 险 元 的 保 险 涉 及 企 业 涉 及 企 业
宜 信 博 诚 保 险 销 售 服 务 （ 北 京 ） 有 限 公 司 （ 以 下 简 称 “ 宜 信 保 险 服 务 ” ） 经 中 国 保 险 监 督 管 理 委 员 会 批 准 ， 于 2 0 1 1 年 8 月 5 日 筹 建 ， 2 0 1 1 年 1 1 月 2 9 日 注 册 成 立 ， 注 册 资 本 金 5 0 0 0 万 元 人 民 币 。 漏 洞 描 述 漏 洞 描 述 据 漏 洞 盒 子 白 帽 子 提 供 的 漏 洞 报 告 ， 恶 意 用 户 可 通 过 该 漏 洞 篡 改 保 险 订 单 金 额 ， 实 现 以 极 低 价 格 购 买 高 额 保 险 的 操 据 漏 洞 盒 子 白 帽 子 提 供 的 漏 洞 报 告 ， 恶 意 用 户 可 通 过 该 漏 洞 篡 改 保 险 订 单 金 额 ， 实 现 以 极 低 价 格 购 买 高 额 保 险 的 操 作 。 作 。 正 常 保 险 购 买 流 程 ， 此 时 订 单 金 额 是 正 常 保 险 购 买 流 程 ， 此 时 订 单 金 额 是 1 6 0 6 0 对 请 求 中 金 额 修 改 为 对 请 求 中 金 额 修 改 为 0 . 1 元 元
一 毛 钱 支 付 订 单 成 功 ， 原 价 一 毛 钱 支 付 订 单 成 功 ， 原 价 1 6 0 6 0 未 发 现 人 工 审 核 ， 购 买 成 功 ！ 并 可 以 直 接 查 看 保 单 未 发 现 人 工 审 核 ， 购 买 成 功 ！ 并 可 以 直 接 查 看 保 单 安 全 建 议 安 全 建 议 对 金 额 等 订 单 关 键 数 据 ， 进 行 防 篡 改 校 验 中 国 大 地 保 险 保 中 国 大 地 保 险 保 单 信 息 泄 露 漏 洞 ， 千 万 级 保 单 数 单 信 息 泄 露 漏 洞 ， 千 万 级 保 单 数 据 存 泄 露 风 险 （ 包 括 用 户 姓 名 、 身 份 证 、 手 机 、 地 据 存 泄 露 风 险 （ 包 括 用 户 姓 名 、 身 份 证 、 手 机 、 地 址 等 ） 址 等 ） 涉 及 企 业 涉 及 企 业
中 国 大 地 财 产 保 险 股 份 有 限 公 司 渊 源 于 1 9 4 9 年 1 0 月 成 立 的 原 中 国 人 民 保 险 公 司 ， 公 司 成 立 于 2 0 0 3 年 1 0 月 2 0 日 ， 注 册 资 本 金 1 0 亿 元 人 民 币 ， 总 部 设 在 上 海 。 大 地 保 险 2 0 0 7 年 保 费 规 模 即 突 破 1 0 0 亿 元 。 2 0 1 2 年 进 入 中 国 财 产 保 险 公 司 排 行 榜 前 五 名 。 漏 洞 描 述 漏 洞 描 述 据 漏 洞 盒 子 白 帽 子 提 供 的 漏 洞 报 告 ， 该 漏 洞 可 能 引 起 大 量 用 户 保 单 信 息 泄 露 ， 内 容 包 括 投 保 人 姓 名 、 出 生 日 期 、 证 据 漏 洞 盒 子 白 帽 子 提 供 的 漏 洞 报 告 ， 该 漏 洞 可 能 引 起 大 量 用 户 保 单 信 息 泄 露 ， 内 容 包 括 投 保 人 姓 名 、 出 生 日 期 、 证 件 号 码 、 手 机 、 联 系 地 址 、 保 费 等 。 件 号 码 、 手 机 、 联 系 地 址 、 保 费 等 。 修 复 建 议 修 复 建 议 查 看 保 单 信 息 时 ， 控 制 访 问 权 限 ， 只 允 许 用 户 查 看 自 己 的 保 单 信 息 越 来 越 多 的 人 选 择 在 网 上 购 买 保 险 产 品 ， 但 是 保 险 公 司 对 于 用 户 实 名 认 证 的 隐 私 的 保 护 力 度 还 不 够 完 善 ， 用 户 的 隐 越 来 越 多 的 人 选 择 在 网 上 购 买 保 险 产 品 ， 但 是 保 险 公 司 对 于 用 户 实 名 认 证 的 隐 私 的 保 护 力 度 还 不 够 完 善 ， 用 户 的 隐 私 信 息 很 容 易 遭 到 泄 露 ， 望 相 关 部 门 引 起 重 视 。 私 信 息 很 容 易 遭 到 泄 露 ， 望 相 关 部 门 引 起 重 视 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理