V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
工单节点使用指南
• 请用平和的语言准确描述你所遇到的问题
• 厂商的技术支持和你一样也是有喜怒哀乐的普通人类,尊重是相互的
• 如果是关于 V2EX 本身的问题反馈,请使用 反馈 节点
xiaowu365
V2EX  ›  全球工单系统

垃圾苏宁,发票漏洞

  •  
  •   xiaowu365 · 2017-10-16 11:36:46 +08:00 · 7613 次点击
    这是一个创建于 2580 天前的主题,其中的信息可能已经有所发展或是发生改变。

    https://einvoicelink.51fapiao.cn:8181/FPFX/actions/ [ 45 哈希]

    没有任何认证措施,可以下载任何人的发票

    直接通过一个 hash 值就能下载,不怕别人穷举?

    scriptB0y
        1
    scriptB0y  
       2017-10-16 12:03:41 +08:00   ❤️ 3
    45 位 hash 可能的数量有 10804695562359870518299193703899148848724015728610899282651377959960576L 种可能吧。

    存放 100 万张发票,每次能碰对一张的概率是 100 / (36 ** 45) = 9.255235320869961e-65

    如果上面这样算没错的话,感觉比密码强的多。
    eccstartup
        2
    eccstartup  
       2017-10-16 12:04:46 +08:00 via iPhone
    没觉得比密码强,尤其是有人知道了链接之后
    scriptB0y
        3
    scriptB0y  
       2017-10-16 12:09:57 +08:00
    什么叫有人知道了链接之后?

    密码不也是用户名+密码的字符串吗? 这个长度不是比 hash 长度小的多?
    wingcol
        4
    wingcol  
       2017-10-16 12:12:12 +08:00
    @eccstartup 一般帐号+密码也就 30 位左右, 比这个弱多了
    wingoo
        5
    wingoo  
       2017-10-16 12:17:43 +08:00
    51fapiao 应该是提供开取 /读取发票接口的公司
    看了下 典型客户
    京东, 苏宁, 阿里, 百度, 亚马逊, 国美,中移动....
    xmcp
        6
    xmcp  
       2017-10-16 12:26:38 +08:00 via iPhone
    按你这么说 RSA 还有漏洞呢。
    16^45 比你想像中的要大,少年。
    laoyur
        7
    laoyur  
       2017-10-16 12:34:45 +08:00
    https + 45 位 hash,对于一个对公共服务的发票接口,没毛病
    eccstartup
        8
    eccstartup  
       2017-10-16 12:36:43 +08:00 via iPhone
    @wingcol 有试错次数限制啊
    laoyur
        9
    laoyur  
       2017-10-16 12:37:10 +08:00
    补一句,别提穷举,防穷举跟 https + 45 位 hash 本身没有关系
    楼主你要是挑刺的话,先去单 ip 穷举 10w 次,如果没把你封掉,再来喷不迟
    moult
        10
    moult  
       2017-10-16 12:37:58 +08:00 via iPhone
    楼主要是这都能随便输一个就能命中,那就去买彩票把,彩票的数字短多了。
    trydie
        11
    trydie  
       2017-10-16 12:53:21 +08:00
    哈希前是什么内容?自增 int 吗?
    scriptB0y
        12
    scriptB0y  
       2017-10-16 13:27:59 +08:00
    google 很多产品 forms,drive 分享等都可以用“知道链接就可以编辑”这种原则。
    yuanfnadi
        13
    yuanfnadi  
       2017-10-16 13:32:23 +08:00   ❤️ 1
    能命中的概率比中彩票还小。
    sobigfish
        14
    sobigfish  
       2017-10-16 14:14:05 +08:00
    这个就算是锅也是 51fapiao 的锅-。-
    belin520
        15
    belin520  
       2017-10-16 14:21:47 +08:00
    哈哈哈,大家不要这样,楼主等下不敢回复了
    确实安全性还是可以的。
    xfspace
        16
    xfspace  
       2017-10-16 14:24:12 +08:00
    发票已经开出了。。。税务信息又不能改。。。如果开的个人发票 也就看到姓名
    ryannnnn
        17
    ryannnnn  
       2017-10-16 15:03:00 +08:00
    非得再让你注册个 51fp 的账号你就满意了是吧?
    noNOno
        18
    noNOno  
       2017-10-16 15:08:53 +08:00
    哈哈哈,扎心了
    juneszh
        19
    juneszh  
       2017-10-16 15:17:46 +08:00
    年少轻狂
    shmilypeter
        20
    shmilypeter  
       2017-10-16 15:29:35 +08:00
    那还真不是苏宁的锅,国内目前在推电子发票,这个是 51fapiao 的。你看看 12306 做得什么样就知道这个平台怎么样了。
    wucao219101
        21
    wucao219101  
       2017-10-16 15:55:42 +08:00
    一般人的账户+密码长度不会超过 45 位吧,那么能穷举 45 位哈希还不如穷举账户+密码。
    102400
        22
    102400  
       2017-10-16 16:23:54 +08:00
    没搞清楚状况就出来喷,现在怎么这么多喷子
    wormcy
        23
    wormcy  
       2017-10-16 16:47:45 +08:00 via Android
    把前 25 位当成用户名,后 20 位当成密码,你就发现太良心了
    wooyuntest
        24
    wooyuntest  
       2017-10-17 08:16:03 +08:00
    啊哈哈哈哈哈
    wymeteor
        25
    wymeteor  
       2017-10-17 09:56:30 +08:00
    这电子发票你下载了有啥用,又不是你的,我就不信你公司财务还能给你报账不成
    niceworld
        26
    niceworld  
       2017-10-17 12:35:15 +08:00
    哈哈...虽然不友善,不过还是想说你是想笑死我好继承我的花呗么
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   1251 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 24ms · UTC 17:58 · PVG 01:58 · LAX 09:58 · JFK 12:58
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.