漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-077922
漏洞标题：某省会住房公积金系统密码可被爆破
相关厂商：cncert国家互联网应急中心
漏洞作者： nzk1912
提交时间：2014-09-30 15:11
修复时间：2014-10-05 15:12
公开时间：2014-10-05 15:12
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-30： 细节已通知厂商并且等待厂商处理中
2014-10-05： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
今天刚刚升级为白帽子，十分激动，有权限可以多拜读一些大作，读着读着读出灵感了~
详细说明：
WooYun: 某省会住房公积金系统12329热线逻辑漏洞，可泄漏个人帐号及部分用户密码
读到这篇文档时，顺便对这个网站进行了一下测试，仅测试了个人用户登录功能，发现密码可被爆破。
登录地址：
http://www.njgjj.com/skywcm/query/gjj_query/gjjlogin.jsp
其中的验证码，如果是手工登录，在登录失败时，会调用
每次验证码会变化，但如果用工具来跑，不会触发这个操作，验证码一直不变；
同时密码仅支持6位数字，用工具非常容易被爆破。
漏洞证明：
多次手工尝试测试失败，每次提示密码错误，进而发现验证码不变。
密码是000000到999999，用工具批量跑一下，
左侧图是登录失败的情况，右侧图是登录成功的情况。
密码爆破到，登录上去，可以看到个人的很多信息：
把手机号修改下，可以随时掌握账户余额信息
修改密码居然不需要原密码，虽然。。。密码已经被爆破了
借用“@看风者”的最后一句：无论是窥探隐私还是骗子利用，都很严重，就算密码改了，一个诈骗电话过来，报出了你的身份证和公积金帐号，号称自己是公积金管理中心人员，上当几率大增。
修复方案：
密码策略估计改动太复杂了，还要支持电话查询，也只能是数字了，把那个验证码弄得智能些吧，能防住爆破应该就可以了。
版权声明：转载请注明来源 nzk1912@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-10-05 15:12
厂商回复：
最新状态：
暂无