当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0187568

漏洞标题:51CTO之任意密码重置风险(各种组合综合利用)

相关厂商:51CTO技术网站

漏洞作者: js2012

提交时间:2016-03-22 09:31

修复时间:2016-03-27 09:40

公开时间:2016-03-27 09:40

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-03-22: 细节已通知厂商并且等待厂商处理中
2016-03-27: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

RT

详细说明:

上次提交审核大大没给通过,说是精确的获取用户id是关键,今天又考虑了一下,还是给我找到了。。
同样上次的流程再走一遍,用两个邮箱来说明:
邮箱 1 --》获取三个重置密码的链接:
URL 1

http://ucenter.51cto.com/setemailpass.php?id=7804861&unid=7747d234f4b2b8cab3e55485f2884abc


unid MD5 解密得:

1458607665


URL 2

http://ucenter.51cto.com/setemailpass.php?id=7804861&unid=679c5b68bc1b974db24b3c2ca38660a4


unid MD5 解密得:

1458607794


URL 3

http://ucenter.51cto.com/setemailpass.php?id=7804861&unid=27b8a923b86dfba72b40673a7fbecc14


unid MD5 解密得:

1458607984


邮箱 2 --》获取两个链接:
URL 1

http://ucenter.51cto.com/setemailpass.php?id=10007943&unid=fc0b2180ee91325e44e9782f5b79cad8


unid MD5 解密得:

1458608098


URL 2

http://ucenter.51cto.com/setemailpass.php?id=10007943&unid=cca1df879eec29c438ff2b3767769ef7


unid MD5 解密得:

1458608188


那么这个时候就可一对比下解密后的uind,发现只有后四位不一样:

G(@PJH2{[WG3([KQN9BOWLE.png


那么这个时候我们就可以生成一个四位数字的字典,在每个前面加上145860,这个在一天之中不会变的常数,然后进行32位md5加密即可对unid进行爆破。
好了unid的问题解决了,那么如何精确的获取用户的id呢?
老师说上课打笔记是个好习惯,我在51CTO打笔记的时候发现,有个同学的笔记,当然重点不在笔记,而是用户的名字,我点开看了一下审查了一下元素,发现网页源代码中已经泄露了用胡的id参数:

3LP58VE51SO~S6]{M~}~@TC.png


为了确定这个是用户的id值我用邮箱1 登录了一下,看了下确实和重置密码中的id值相同:

R3@QRIJ]JS7BF_ZDXQ0~CVV.png


那么现在万事具备了,为了不影响其他用户,我就拿邮箱2来重置了:
首先拼接常数生成32为md5加密的字典:

YCS%KO7PMNE0YY@@P$L00~5.png


然后就是获取id值对unid进行爆破,:

`J34UR1E7ONN4LI5LJS2A96.png


爆破成功:

SF3R4U{7W7@EK2M@M1([6XH.png


漏洞证明:

`J34UR1E7ONN4LI5LJS2A96.png


SF3R4U{7W7@EK2M@M1([6XH.png

修复方案:

RT

版权声明:转载请注明来源 js2012@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2016-03-27 09:40

厂商回复:

漏洞Rank:15 (WooYun评价)

最新状态:

暂无


漏洞评价:

评价

  1. 2016-03-22 09:32 | 浩天 认证白帽子 ( 普通白帽子 | Rank:925 漏洞数:80 | 哈!躁起来!)

    我只能说存在风险,想有效利用还有点难度,但思路不错

  2. 2016-03-22 09:34 | js2012 ( 实习白帽子 | Rank:94 漏洞数:39 | 闭关修炼。。。)

    谢谢审核大大@ 浩天

  3. 2016-03-22 10:12 | sm0nk ( 普通白帽子 | Rank:174 漏洞数:30 | all is well)

    6

  4. 2016-03-22 10:33 | 土夫子 ( 普通白帽子 | Rank:467 漏洞数:82 | 看似山穷水尽,终将柳暗花明)

    给我充值100000个下载豆

  5. 2016-03-22 11:21 | 赵健康 ( 实习白帽子 | Rank:54 漏洞数:13 | 慢慢进步!!!)

    持续关注

  6. 2016-03-22 15:54 | 闰土。 ( 路人 | Rank:6 漏洞数:3 | 做自己的英雄 - rainto .)

    相关部门正在持续关注

  7. 2016-03-22 16:42 | water ( 普通白帽子 | Rank:379 漏洞数:110 | If you have one, then we have more than ...)

    mark

  8. 2016-03-27 09:47 | 酷帥王子 ( 普通白帽子 | Rank:256 漏洞数:69 | 天之屌,人之神!天人合一,乃屌神也!)

    这个也是一个渗透思路嘛,虽然批量化的搞,但是假想如果你要指定搞的是FBI局长的耗子的话,那这个思路就有价值多了,所以嘛洞猪,思路不错,精神可嘉!支持你