漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-049726
漏洞标题：收货宝可重置任意账户密码漏洞
相关厂商：收货宝
漏洞作者： 路人甲
提交时间：2014-01-24 16:02
修复时间：2014-03-10 16:03
公开时间：2014-03-10 16:03
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：7
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-01-24： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-03-10： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
收货宝可重置任意账户密码。
详细说明：
重置密码时获取到正确验证码，在提交新密码时将用户名改为其他账户（如lin.zhang），提交后手机对应的账户和lin.zhang密码均被修改。
漏洞证明：
操作结束后可用a1234567登录lin.zhang
------------------后续跟进--------------------
收货宝（shouhuobao.com）验证码可重复使用，使用中午12：56分获取的手机验证码下午四点以后仍然可成功修改密码（中午已经改过一次，这次为二次利用）， 而是用12：35分的则提示验证码错误，这可以猜出验证码过期的时间。
中午提交了一个收货宝的漏洞，收货宝可重置任意账户密码，链接为 WooYun: 收货宝可重置任意账户密码漏洞 。
下午没事儿的时候又试验了一下验证码是否只可以使用一次结果使用已经使用过的验证码成功改密码。
如果前一个漏洞还不能批量修改其他人的密码，那么加上验证码二次利用就比较容易实现了。
修复方案：
后台建立用户名及手机号码与验证码的对应关系，确保验证码不被盗用。
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝