漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017375
漏洞标题：拉卡拉各种逻辑设计缺陷(可更改他人密码)
相关厂商：拉卡拉网络技术有限公司
漏洞作者： se55i0n
提交时间：2013-01-16 15:16
修复时间：2013-03-02 15:17
公开时间：2013-03-02 15:17
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-16： 细节已通知厂商并且等待厂商处理中
2013-01-17： 厂商已经确认，细节仅向厂商公开
2013-01-27： 细节向核心白帽子及相关领域专家公开
2013-02-06： 细节向普通白帽子公开
2013-02-16： 细节向实习白帽子公开
2013-03-02： 细节向公众公开
简要描述：
欢迎送礼物哈：D
详细说明：
1）问题一：邮箱找回密码可形成邮件炸弹；
1.1）填入需要找回的邮箱帐号并提交；
1.2）系统提示邮件已发送到相应邮箱帐号；
1.3）发现旁边有个“点击重新发送邮件”按钮，一阵猛点之后，发现邮箱收到一堆系统邮件，当然我们也可抓包，直接构造请求发送（未测试）；
2）问题二：任意手机号码绑定；
2.1）用户登陆后，在主页面上有个手机号码绑定；输入手机号码，点击获取验证码发现为一个4位纯数字，填入一个4位数验证码提交并抓包开始爆破；
2.2）测试发现，系统未对校验错误次数做限制，我们可根据response字节长度和localtion内容确认真正的验证码；
校验错误时，localtion内容为：
2.3）当然我们根本不用去管哪个是真正的校验码，因为当爆破到真正的校验码时，系统系统会直接绑定手机号码成功；
3）问题三（最重要）：任意用户密码重置；
3.1）在测试第二个问题的时候，我们发现系统未对校验错误次数做限制，那么使用手机号码找回密码当然也就可行了；
3.2）这里仅仅做漏洞利用演示，输入我自己的手机号码，获取到一个6位数字验证码，随意填入一个6位数字验证码，点击提交并抓包；
3.3）我们设置verCode参数值为一个包含真实验证码的较小的6位数字区间，开始爆破，发现我们可根据response的字节长度确定真正的验证码；
3.4）使用获取到的真实验证码替代verCode参数值即可来到密码重置页面；
3.5）输入我们要重置的密码即可（漏洞利用演示完成）；
漏洞证明：
见详细说明~
修复方案：
版权声明：转载请注明来源 se55i0n@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2013-01-17 19:31
厂商回复：
目前拉卡拉用户中心内部数据，如手机号，卡号等关键敏感数据绝大部分已经做了屏蔽处理，基本不会泄露用户的敏感数据。
我们将这2天内修复该漏洞！
感谢您的反馈和关注！
最新状态：
暂无
( 普通白帽子 | Rank:686 漏洞数:101 )