漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017405
漏洞标题：我是如何重置酒美网任意用户密码的
相关厂商：酒美网
漏洞作者： 风萧萧
提交时间：2013-01-16 23:21
修复时间：2013-03-02 23:22
公开时间：2013-03-02 23:22
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-16： 细节已通知厂商并且等待厂商处理中
2013-01-21： 厂商已经确认，细节仅向厂商公开
2013-01-31： 细节向核心白帽子及相关领域专家公开
2013-02-10： 细节向普通白帽子公开
2013-02-20： 细节向实习白帽子公开
2013-03-02： 细节向公众公开
简要描述：
看到你们送礼物，我就来了，求给力！
详细说明：
1.主站我没有测试，你们自己看看撒！这种问题首先出现在wap站点！看这里：
2.进入wap站点的登录页面，看到熟悉的【取回密码】了么？
3.第一步，填入需要重置用户的手机号码，我这里是测试，只是用自己的帐号了！
4.点击提交，这时手机上会收到一个6位数的短信码，为【373078】。当然我会假装不知道的，然后填入一个错误的短信码：123456
5.这个时候，抓包看请求！并将本次post请求发送到burpsuite的intruder模块进行爆破！
漏洞证明：
6.由于是测试，我就从370000开始了，并且设置了5个线程进行爆破！
7.短信码错误的情况下，返回的内容有【短信验证码输入错误】的字样，并且返回的字节数为为4599.而短信码成功爆破时，返回的字节数只有467个字节，并且返回的内容是跳转到重置密码的第三步！
8.将正确的短信码再次填入输入框，顺利进入第三步，后面的步骤就是重置只后登陆了！
修复方案：
1.一般情况下，短信码应设置为1次使用立即失效，防止他人无需走重置密码的流程即可对短信码爆破等等！
2.6位纯数字短信码的爆破，即平均50万次的请求，我之前使用了burpsuite测试单台机器100线程，8分多钟即可重置任意一个手机账号！危险啊
3.短信码可以为6位纯数字，甚至可以缩短为4为纯数字；可以不设置图片验证码，甚至可以不用设置短信码的有效期。但是为什么不设置连续5次尝试失败就锁定本次密码重置的请求呢？
4.求20rank，求礼物！
版权声明：转载请注明来源 风萧萧@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2013-01-21 10:42
厂商回复：
感谢@风萧萧同学的漏洞~！真的很严重，wap方面的负责人除了身冷汗哦，嘿嘿.现在已经确认并处理，给我下联系方式，小礼物会有的,嘿~@_@
最新状态：
暂无
漏洞评价：
评论
-
尼玛，我刷了一个就不想刷了，你这是打开了hao123然后挨个点开看是吧？想超越1哥？次奥！
-
@小胖子 怎么这么激动捏！我是看了最新确认的漏洞里有个厂商这么回复的："非常感谢se55i0n 提供的漏洞！最近有些异常订单让我们客服很困惑，目前已经处理，另小礼物怎么提供~我点了肿么没反应= = ~"我只是来求礼物的
-
@鬼魅羊羔 干！dota搞两把！我现在一堆礼物，赢了任你挑！
-
@px1624 war高手啊！切磋一把？
-
@风萧萧 一起刀几把？
-
想超越一哥就别想了。 O(∩_∩)O哈哈~
-
@zeracker 301大大，你就别参合了！我真的知道错了
-
@px1624 N年没玩了。上次还是陪客户玩过一次。
-
@数据流 sorry
-
@酒美网 礼物寄出快一个月了，我怎么还没收到，到底寄没寄，没寄就不要私信告诉我已经寄出了，浪费感情啊……
( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)