当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-08480

漏洞标题：拉卡拉任意修改其他用户密码漏洞

相关厂商：拉卡拉网络技术有限公司

漏洞作者： 唐尸三摆手

提交时间：2012-06-19 15:14

修复时间：2012-08-03 15:15

公开时间：2012-08-03 15:15

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-06-19： 细节已通知厂商并且等待厂商处理中
2012-06-19： 厂商已经确认，细节仅向厂商公开
2012-06-29： 细节向核心白帽子及相关领域专家公开
2012-07-09： 细节向普通白帽子公开
2012-07-19： 细节向实习白帽子公开
2012-08-03： 细节向公众公开

简要描述：

拉卡拉网站用户中心存在逻辑缺陷，可以任意修改其他用户密码，从而登陆进入其他用户账号查看消费记录，处理消费余额，查看个人隐私信息，甚至进行账号转账等等操作

详细说明：

在查找用户操作的敏感逻辑中，我们发现整个重制密码的流程存在严重安全隐患，首先自己重置下自己的密码得到如下连接：

http://user.lakala.com/default/pwdResetRequestByEmail.do?uid=1000244181&code=9qxHvn7L


进入该链接发现即可重新设置密码，关键逻辑代码为：

<form id="passwordResetForm" name="passwordResetForm" method="post" action="/default/passwordReset.do">
      <input type="hidden" id="userId" name="userId" value="1000244181">
   	  <ul class="list3">
      <li>
        <div class="n1">新密码:</div>
        <input type="password" name="password" id="password" class="inp1 required">
        <label></label>
        <div class="n2">
          <p>8-16位字符，请使用字母加数字或符号的组合密码，不要单独使用数字，字母或符号。</p>
        </div>
      </li>
      <li>
        <div class="n1">确认密码:</div>
        <input type="password" name="re_passwd" id="re_passwd" class="inp1 required">
        <label></label>
        <div class="n2">
          <p>请再次输入密码！</p>
        </div>
      </li>
      <li>
        <div class="n2">
          <p><input type="button" onclick="passwordResetSubmit()" value="下一步" class="btn1"></p>
        </div>
      </li>
      </ul>
      </form>


从代码看并无更多的条件限制，只是将客户ID和新的密码提交到服务器，如果在服务器里并无session等进行二次的验证，将导致严重安全隐患，为了测试我们注册一个新的账户，并且记录新账户的ID，修改用户的ID之后提交


立即重置成功


使用测试的账号可直接登陆成功

漏洞证明：

不多说了吧

修复方案：

不多说了吧

版权声明：转载请注明来源 唐尸三摆手@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2012-06-19 16:42

厂商回复：

谢谢，漏洞已发现，正在处理中。

最新状态：

2012-06-19：缺陷已修复，多谢您了。

漏洞评价：

评论

  1. 2012-06-19 15:16 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    我信洞主，以后不敢用拉卡拉还信用卡了，别不知道给谁还了。。

  2. 2012-06-19 15:20 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    玩过火了。我擦

  3. 2012-06-19 15:25 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

    拉卡拉网站用户中心存在逻辑缺陷，可以任意修改其他用户密码，从而登陆进入其他用户账号查看消费记录，处理消费余额，查看个人隐私信息，甚至进行账号转账等等操作 ......碉堡了

  4. 2012-06-19 15:25 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

    洞主保重...

  5. 2012-06-19 16:03 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    个人觉得这种简介有危险~~

  6. 2012-06-19 16:21 | zidane ( 路人 | Rank:13 漏洞数:2 | 噢 乖，你们应该明白 这样下去对我们谁都不...)

    关注此类型漏洞

  7. 2012-06-19 16:50 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    最近这类漏洞真火！！

  8. 2012-06-19 17:54 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @拉卡拉网络技术有限公司 修复得真快，天气这么热，送点冰棍吃吧～

  9. 2012-06-19 17:55 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @xsser 俺要乌云牌的。

  10. 2012-06-19 21:32 | Aの碎碎念 ( 路人 | Rank:11 漏洞数:4 | 腐宅求妹子~)

    我擦

  11. 2012-06-20 16:09 | Henry:bobo ( 普通白帽子 | Rank:104 漏洞数:22 | 本胖吊！~又高又肥2个奶奶像地雷)

    洞主我信了

  12. 2012-07-23 14:17 | zidane ( 路人 | Rank:13 漏洞数:2 | 噢 乖，你们应该明白 这样下去对我们谁都不...)

    跟当年某网游一模一样

  13. 2012-07-23 16:35 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    擦，跟我们公司内部的系统一个德行……一个开发公司么~~

  14. 2012-07-23 16:36 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @一刀终情 请问你们家公司是什么 分享下

  15. 2012-07-23 18:05 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    @xsser 好像是个小公司，时代电子？还是天钥科技的