漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-032115
漏洞标题：看我如何重置篱笆网任意账户密码（秒改）
相关厂商：篱笆网
漏洞作者： xfkxfk
提交时间：2013-07-24 16:20
修复时间：2013-09-07 16:20
公开时间：2013-09-07 16:20
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-07-24： 细节已通知厂商并且等待厂商处理中
2013-07-25： 厂商已经确认，细节仅向厂商公开
2013-08-04： 细节向核心白帽子及相关领域专家公开
2013-08-14： 细节向普通白帽子公开
2013-08-24： 细节向实习白帽子公开
2013-09-07： 细节向公众公开
简要描述：
看我如何重置篱笆网任意账户密码（秒改）
详细说明：
先注册两个用户xfkxfk，testertester
然后找回密码
选择通过邮箱找回
看看重置密码的链接
我们输入新密码然后抓包
因为这里我们重置的是xfkxfk的密码，看看xfkxfk的user_ID
下面是重置xfkxfk的请求信息
我们把来看看受害者testertester的user_ID
然后我们把重置xfkxfk密码的请求中uid=7540861，referer中的uid换成testertester的uid=7540883，把user_name也换成testertester,最不应该的是这里的code却没起作用，但是code的键值还是必须存在，值为32位任意值。
然后来重置testertester的密码：
从返回信息中成功重置了testertester的密码。
漏洞证明：
因为我们可以访问任意用户的空间：
这是xfkxfk的空间，只要我们变换http://i.liba.com/后面的这个uid就能访问到任意用户空间，从而得到用户的uid和user_name，下面我们随便找一个用户uid=1的会员：
修复方案：
1、不要把验证code放到referer里面啊！
2、及时放到referer里面也要验证一下这个code的值是否正确唯一啊！
版权声明：转载请注明来源 xfkxfk@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2013-07-25 09:20
厂商回复：
已修复
最新状态：
暂无
漏洞评价：
评论
-
@篱笆网 不好意思，为了验证漏洞，我改了一个账户的密码，但是没做任何操作，敏感信息也打码了，谢谢
-
@M4sk 嗯，相当不容易啊，都是先苦后甜的嘛
-
脱裤ing
-
你们太坏了。
-
= =# 终于测试成功了。。。
-
@VIP @淡漠天空 @Coody 你们太坏了，厂商都哭了，积点德行不行
-
@VIP 谁说测试admin账户了？？？现在都禁用了。。。。@xfkxfk 其实就是你标题中“秒改”吸引了我，，，，
-
@钝刀的老王 @Coody @篱笆网 怎么厂商还不来认领咧。。。
-
@B1acken @ling 等厂商认领了再说吧，可以自己测试一下
-
@佩佩 厂商回复：已修复
( 核心白帽子 | Rank:2179 漏洞数:338 | 呵呵！)