漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-028008
漏洞标题：新浪某站点修改任意用户密码
相关厂商：新浪
漏洞作者： momo
提交时间：2013-07-06 23:41
修复时间：2013-08-20 23:41
公开时间：2013-08-20 23:41
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-07-06： 细节已通知厂商并且等待厂商处理中
2013-07-07： 厂商已经确认，细节仅向厂商公开
2013-07-17： 细节向核心白帽子及相关领域专家公开
2013-07-27： 细节向普通白帽子公开
2013-08-06： 细节向实习白帽子公开
2013-08-20： 细节向公众公开
简要描述：
RT
听说新浪的礼物很丰厚？
详细说明：
一、url未加密，导致能看到任意用户真实手机号码
二、通过url可以在找回密码时换成任意手机号码找回
三、登陆进去后，可以修改任何人的资料包括手机号码
是房产网，信息很值钱的。
问题URL导致：
http://j.esf.sina.com.cn/login/retrievepsd
下面我用admin来作为例子，如下图
我们按要求进入下一步，如下图
这时我们能够看到：
页面上的手机号码中间4位被*了，而url上面却没有加密，而是直接显示的，接下来就是把url上的手机号码改成自己的手机号码(为了接受到找回密码的短信)
修改完成后，我们得到如下页面：
OK，接下来点击“获取验证码”，让我们手机接收下验证码吧
叮咚，验证码发到手机了，如下图
好了，接下来，我们输入验证码来修改'admin'的密码吧
看到这个图，
我想大家都知道，
已经成功一大半了，
为什么说还有一小半没有成功呢？
因为我们还不敢确定是不是修改的'admin'的密码嘛
那么我们来把密码修改为：wooyun吧
(修改密码就是把上图需要改密码的修改成自己所要改的密码，这个大家都懂)
下图是密码修改完成的截图
好了，
密码也修改完成了，
那么接下来我们就能试下我们刚才修改的'admin'能否登陆吧（密码是wooyun）
OK，成功登陆啦。
下面来证明下上图的那个186的手机号码是和admin一致的：
漏洞证明：
应该不需要我把贵企业此站的每个会员账户密码改掉才算证明吧？
上面'详细说明'中那么详细的步骤足以能够证明了
修复方案：
1，url加密下
2，防止burp抓包
版权声明：转载请注明来源 momo@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2013-07-07 07:42
厂商回复：
感谢对新浪安全的支持。
最新状态：
暂无