漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-058433
漏洞标题：中国邮政旗下某平台任意帐号密码重置
相关厂商：中国邮政集团公司信息技术局
漏洞作者： 魇
提交时间：2014-04-25 15:06
修复时间：2014-06-09 15:07
公开时间：2014-06-09 15:07
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-04-25： 细节已通知厂商并且等待厂商处理中
2014-04-25： 厂商已经确认，细节仅向厂商公开
2014-05-05： 细节向核心白帽子及相关领域专家公开
2014-05-15： 细节向普通白帽子公开
2014-05-25： 细节向实习白帽子公开
2014-06-09： 细节向公众公开
简要描述：
感谢 @U神 @李旭敏 对本人的大力帮助...
详细说明：
http://www.183read.com/ 中邮阅读网
中邮阅读网(www.183read.com)是集期刊、图书、有声阅读、数字订阅于一体的新媒体平台，由中国邮政主办, 是中国邮政旗下唯一的数字媒体发行平台，是邮政报刊发行由单一的实物发行走向实物与数字出版发行相结合的标志性网站。
按照正常找回密码流程，找回密码，到邮箱内查看找回密码链接。
找回密码链接为：
该链接由user_id：164008跟一个不知名MD5加密组成，这里我的想法是将其猜解出来，
然后构造找回密码链接..
在google浏览器F12开发者选项下，点击找回邮箱，发现这个id值已经返回了
那么只剩下code后面的这串MD5，这串MD5如果经过一番猜测加密无果..后直接到CMD5解密
1779f20a42a8ecfe9dd580c486784aab （第一次发送）解密为1398400490
55cb902c5b1b83486b71e3aa13a7a931 （第二次发送）解密为1398400853
对比之下，只有后三位数有变动，但是前七位因为找回帐号不同也会变动..
但经过测试，前七位也可以通过google浏览器F12查看到
现在我们可控的有user_id以及MD5解密后的前7位数字
也就是说我们只要将1398400100-1398400999进行批量MD5加密，再对加密后的MD5进行爆破
就可以枚举出正确的找回密码链接
（其实只是三位数的加密跟爆破，速度很快，弄的话不用几分钟）
为了简去繁琐的过程，我用自己的另一个帐号wooyunyana@126.com测试演示：
发送找回密码链接，获取到user_id:163902
32位MD5解密后的前七位数字为：1398408
然后批量生成后三位：1398408100-1398408999
（burpsuite有自带的可以生成，导出文本）
然后网上随便找个批量加密的工具，批量生成..
然后我们到wooyunyana@126.com的邮箱比对一下生成的MD5
这个是我用工具生成的批量MD5的文本
完全一致，证明了这个方法的可行性..
这个洞是有史以来耗费过巨资的一次...因为是CMD5的付费解密
第一次让@李旭敏帮忙解了一个，第二次有些想法需要测试再解几个对比，但又不好意思再麻烦他
于是自己冲了20元到CMD5..
简直...
漏洞证明：
20RMB知道你们补不了
给我补20RANK 可好..
修复方案：
版权声明：转载请注明来源 魇@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2014-04-25 15:46
厂商回复：
谢谢
最新状态：
暂无