漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017371
漏洞标题：百姓网修改任意账户密码漏洞
相关厂商：百姓网
漏洞作者： 小胖子
提交时间：2013-01-16 14:46
修复时间：2013-03-02 14:47
公开时间：2013-03-02 14:47
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-16： 细节已通知厂商并且等待厂商处理中
2013-01-16： 厂商已经确认，细节仅向厂商公开
2013-01-26： 细节向核心白帽子及相关领域专家公开
2013-02-05： 细节向普通白帽子公开
2013-02-15： 细节向实习白帽子公开
2013-03-02： 细节向公众公开
简要描述：
很多网站都是这样的，不过我发上来的目的是说，我不跟风萧萧吸易水寒一样用burp。暂用老东西，溯雪。
详细说明：
问题依旧在手机重置密码
输入手机号，下一步：
设置表单，每位用户为 ！！固定！！ 六位数随机码，无次数限制，生成六位数字典dic.txt
提交表单
标记错误返回
找到，重置密码
漏洞证明：
修复方案：
别用纯数字验证码，而且不同时间次的找回验证码应该不同才对啊~亲~
6位数验证码的话，10分钟一个账号没问题的，不管涉及多少，哪怕涉及一个用户，保护用户隐私与安全，是你们义不容辞的责任撒。
版权声明：转载请注明来源 小胖子@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2013-01-16 15:04
厂商回复：
多谢提醒，马上修。
最新状态：
2013-01-18：已解决并上线，是限制提交次数的代码有逻辑漏洞，导致限制实际上根本没生效，大汗。。。