漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0188800
漏洞标题：驴妈妈某平台可重置所有子账号密码/支付密码（涉及4000多账户）
相关厂商：驴妈妈旅游网
漏洞作者： 风之传说
提交时间：2016-03-24 23:23
修复时间：2016-05-10 08:28
公开时间：2016-05-10 08:28
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-03-24： 细节已通知厂商并且等待厂商处理中
2016-03-26： 厂商已经确认，细节仅向厂商公开
2016-04-05： 细节向核心白帽子及相关领域专家公开
2016-04-15： 细节向普通白帽子公开
2016-04-25： 细节向实习白帽子公开
2016-05-10： 细节向公众公开
简要描述：
驴妈妈某平台可重置所有子账号密码（涉及4000多账户）
详细说明：
驴妈妈旅游网-中国新型的B2C旅游电子商务网站，为旅游者提供景区门票、自由行、度假酒店、国内游、出境游等一站式旅游服务。
重置所有子账号的密码，可批量登录4000个子账号。
首先随便拿个账号登录：
http://fx.lvmama.com/user/index.do yangfan yangfan123
首先添加一个子账号：
点击修改的时候抓包，将此ID换成别人的ID：
然后，就可以读到别人的信息了：
再来一个：
可批量读取所有用户的信息。然后我们点击重置密码，点击抓包：
通过遍历id,可以批量重置所有人的子账号。
这里显示的是重置自己的，其实我们通过修改id别人的已经被重置。
拿两个做示范:
35784866@qq.com 111111
charles.liang@yooyo.com 111111
可以看到，是停用的。但是没事，通过刚才的方法，可以帮他开启了。
漏洞证明：
驴妈妈某处设计不当支付密码可被人任意更改，影响所有用户。
驴妈妈旅游网-中国新型的B2C旅游电子商务网站，为旅游者提供景区门票、自由行、度假酒店、国内游、出境游等一站式旅游服务。
支付密码是用户的最后一道防线，支付密码被改，金额就容易被人任意消费，危害巨大。
首先随便拿个账号登录：
http://fx.lvmama.com/user/index.do yangfan yangfan123
在这里，这个账号是被我猜解出来的。
然后看到里面有500块钱，然后想着帮你们测下，看看金额支付方面是否有什么问题。然后悲剧就发生了。
首先，我们点击预存款账户，重新设置：
由于这里是他自己设置的支付密码，我们当然不知道，点击忘记密码。
然后填好新支付密码，然后点击获取手机验证码：
然后抓包：
可以看到他的手机，然后改成自己的手机：
然后成功收到验证码：
然后利用收到的验证码重置支付密码。然后支付密码修改成功。
我已经成功的把该账号的支付密码修改为 1234567 麻烦，帮他改过来下。
另外说下。。你们的手机好像也存在这个问题，就是说，手机好像也可以任意更换。也是发送验证码到自己手机就可以了。
修复方案：
验证好权限。
版权声明：转载请注明来源 风之传说@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2016-03-26 08:28
厂商回复：
thx
最新状态：
暂无