当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-014599

漏洞标题：光棍节屌丝的逆袭专场NO.3---凡客诚品网修改任意妹子账号密码漏洞

相关厂商：凡客诚品

漏洞作者： 风萧萧

提交时间：2012-11-10 18:38

修复时间：2012-12-25 18:38

公开时间：2012-12-25 18:38

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-11-10： 细节已通知厂商并且等待厂商处理中
2012-11-12： 厂商已经确认，细节仅向厂商公开
2012-11-22： 细节向核心白帽子及相关领域专家公开
2012-12-02： 细节向普通白帽子公开
2012-12-12： 细节向实习白帽子公开
2012-12-25： 细节向公众公开

简要描述：

屌丝继续逆袭，当你拿到妹子的婚恋网站账号密码成功登陆网站时，看到的都是虚假的信息吧！那么你还想了解她更多的资料么？想知道她的购物历史么？想给她的真实地址寄送礼物么？来凡客吧！
以上想法纯属意淫，以下测试实属危险，各位屌丝请勿模仿！

详细说明：

1.出问题的是移动客户端访问的站点：m.vancl.com：

1.jpg


2.点击右上角【登录】按钮，看到【取回密码】没有？问题就来了：

2.jpg


3.输入需要重置密码的用户名吧，这里由于是测试，我使用了自己的账号：

3.jpg


4.输入图片验证码后，点击【提交】，进入重置密码的下一个页面，同时手机上也收到一个6位纯数字的短信码（这里为区别图片验证码称为短信码）【053472】，我随意填写一个短信码000000，这里注意将浏览器设置好代理准备抓包：

6.jpg


5.抓包的内容如下所示：

POST /User/RetrieveStep2 HTTP/1.1
Host: m.vancl.com
Proxy-Connection: keep-alive
Content-Length: 40
Cache-Control: max-age=0
Origin: http://m.vancl.com
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.13 (KHTML, like Gecko) Chrome/24.0.1284.2 Safari/537.13
Content-Type: application/x-www-form-urlencoded
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Referer: http://m.vancl.com/User/RetrieveStep1
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8
Accept-Charset: GBK,utf-8;q=0.7,*;q=0.3
Cookie: LBSPageKey_1=0; _vuca=***********
txtSMSVerity=000000&txtphone=1*********9

很容易看出来参数txtphone为重置的手机号码，txtSMSVerity为短信码了！将该请求发送到burpsuite的intruder模块，配置爆破的参数为txtSMSVerity，并且设置线程数为100：

7.jpg

8.jpg

9.jpg

漏洞证明：

5.我们可以通过返回内容的字节数进行判断是否获取到正确的短信码，在这里7946个字节表示短信码不正确，而7662个字节表示成功获取到短信码；同时也可通过返回的内容不同区别错误与正确的短信码：

10.jpg

11.jpg


6.好吧，我测试了4W次请求，只需2分钟时间！最后拿获取到的短信码进行修改密码吧！

12.jpg


7.我等屌丝再次成功逆袭！

13.jpg

14.jpg

修复方案：

1.测试时我密码取回了几次，每次发送的短信码的第一位都是0，那么这里便是5位纯数字短信码的爆破，即平均5万次的请求，我使用了burpsuite测试单台机器100线程，4分钟即可重置任意一个手机账号！危险啊
2.短信码可以为6位纯数字，甚至可以缩短为4为纯数字；可以不设置图片验证码，甚至可以不用设置短信码的有效期。但是为什么不设置连续5次尝试失败就锁定本次密码重置的请求呢？
3.求20rank，求礼物！

版权声明：转载请注明来源 风萧萧@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：18

确认时间：2012-11-12 11:44

厂商回复：

已提交相关部门进行评估整改，感谢您对我们的关注与支持！
PS：马总微信出来后已经在对此类问题重新评估，您的测试推动了我们对此类问题的关注，感谢！

最新状态：

暂无

漏洞评价：

评论

  1. 2012-11-10 18:39 | Coody 认证白帽子 ( 核心白帽子 | Rank:1565 漏洞数:189 | 不接单、不黑产；如遇接单收徒、绝非本人所...)

    洞主、虾米情况？

  2. 2012-11-10 18:39 | imlonghao ( 普通白帽子 | Rank:730 漏洞数:74 )

    ..........

  3. 2012-11-10 18:44 | Metasploit ( 实习白帽子 | Rank:37 漏洞数:7 | http://www.metasploit.cn/)

    好强大啊 待会会不会放手机号？

  4. 2012-11-10 18:53 | Xhm1n9 ( 实习白帽子 | Rank:57 漏洞数:13 | bug)

    銱丝的福气啊

  5. 2012-11-10 18:59 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    求……继续求……各种求

  6. 2012-11-10 19:23 | roofsec ( 普通白帽子 | Rank:151 漏洞数:19 )

    围观 连载啊~

  7. 2012-11-10 19:47 | 冷静 ( 路人 | Rank:3 漏洞数:2 )

    银行卡 修改任意妹子账号密码漏洞

  8. 2012-11-10 20:16 | Seay ( 实习白帽子 | Rank:65 漏洞数:8 )

    下一个，光棍节屌丝的逆袭专场NO.3---邮政银行修改任意妹子账号密码漏洞

  9. 2012-11-10 20:19 | Finger 认证白帽子 ( 普通白帽子 | Rank:777 漏洞数:95 | 最近有人冒充该账号行骗，任何自称Finger并...)

    @鬼魅羊羔 明天挖漏洞玩啊 和她冷战ing 明天过光棍节

  10. 2012-11-10 21:18 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    @Finger 光棍节，我计划看一天的鬼片。。。

  11. 2012-11-13 13:28 | 纷纭 ( 路人 | Rank:19 漏洞数:8 | 学习者。)

    一说马总就知道大概什么个思路了。手机验证码取回。

  12. 2012-12-25 19:52 | 无敌L.t.H ( 路人 | Rank:21 漏洞数:4 | ‮……肉肉捉活，亭长放解)

    问题是有哪个妹子会去凡客"陈"品？还是找回iTunes密码吧。