漏洞概要
关注数(24)
关注此漏洞
漏洞标题：光棍节屌丝的逆袭专场NO.1---百合网修改任意妹子账号密码漏洞
提交时间：2012-11-10 17:32
修复时间：2012-12-25 17:32
公开时间：2012-12-25 17:32
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
Tags标签：
无
漏洞详情
披露状态：
2012-11-10： 细节已通知厂商并且等待厂商处理中
2012-11-12： 厂商已经确认，细节仅向厂商公开
2012-11-22： 细节向核心白帽子及相关领域专家公开
2012-12-02： 细节向普通白帽子公开
2012-12-12： 细节向实习白帽子公开
2012-12-25： 细节向公众公开
简要描述：
屌丝们，为了妹子们还在扫号么？还在撞库么？还在为了绕过图片验证码烦恼发愁么？光棍节即将到来，本人即将送上各大网站账号密码重置漏洞！
详细说明：
1.是百合的主站哦，进入百合网的账号登陆页面。当然我们这里不登陆，而是点击【忘记密码？】按钮，进入密码重置流程：
2.填写需要重置的账号，由于只是测试漏洞存在，这里只用了我自己的账号：
3.点击下一步，选择找回密码的方式为【注册手机找回】，当然如果认证了的话也可以选择【认证手机找回】：
4.已经给我的手机号发送了重置密码的短信码了（为了与图片验证码区别，这里成为短信码）
漏洞证明：
5.查看手机收到的短信码为【58474】,我首先输入任意的5位纯数字短信码12345，点击提交，则返回如下错误，记得此时设置好浏览器代理：
6.同时，看到的抓包请求为：
上面的参数code=12345为短信码，而参数mobilenum=1*********9为手机号码。
7.写了那么多，开始吧：设置好参数code为需要爆破的参数，这里由于是测试我从59400开始暴力猜测
8.通过返回的字节数或者返回的内容得出正确的短信码：
短信码错误时，返回的字节数为436，而短信码正确时字节数为634
从内容上判断，短信码错误时返回内容为：
短信码正确时返回内容为：
9.那么使用爆破完的短信码重置账号吧！
10.屌丝成功逆袭：
修复方案：
1.还有一个很严重的bug，一次取回账号长久可用，我的重置链接如下(怎么获得呢？)，但是评估我的账号被恶意重置以及泄露个人信息的风险，隐去最后8位：
只要拿了上述链接，不用走重置密码的流程即可重新更新密码；
2.5位纯数字短信码的爆破，即平均5万次的请求，我使用了burpsuite测试单台机器100线程，4分钟即可重置任意一个手机账号！危险啊
3.短信码可以为5位纯数字，甚至可以缩短为4为纯数字；可以不设置图片验证码，甚至可以不用设置短信码的有效期。但是为什么不设置连续5次尝试失败就锁定本次密码重置的请求呢？
4.求20rank，求礼物！
版权声明：转载请注明来源 风萧萧@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2012-11-12 18:12
厂商回复：
非常感谢风萧萧 帮我们发现问题，我们会尽快改正的。
最新状态：
暂无
