漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-068194
漏洞标题：速溶360可重置任意账户密码
相关厂商：速溶360
漏洞作者： 大象
提交时间：2014-07-18 11:19
修复时间：2014-09-01 11:20
公开时间：2014-09-01 11:20
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-18： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-09-01： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
可以重置任意用户密码，并且能进一步利用相关漏洞盗用别人账户发布借款套现。
详细说明：
1）在登陆页面使用找回密码功能。获取验证码后发现为6位数字，无使用期限限制，也没限制限制校验错误次数。这样就可以采用爆破的方法来获取正确的验证码，只是时间的问题。
2）随便输个验证码抓个包看下。
3）配置一下，对相关参数进行爆破。
4）没用多长时间就获取到了真实的验证码。
5）成功重置密码
6）当然光获取用户密码并不能进行什么实质的操作，也不会造成太大的危害。
作为网贷网站，为了安全速溶要求发布借款需要手机验证码。并且提现时的卡号姓名要与认证过的真实姓名相对应。所以就算有人盗取了别人的账号，借款成功了与无法提现。
但是速溶有一款叫做“分期购”的产品，在淘宝拍下想要的东西，选择找人代付，生成代付链接，提交后发布借款。借款成功后速溶会为你代付，这时在淘宝订单中选择退款，钱就会退到你的支付宝账号中。如果盗用别人的账号发布分期购，我们可以最后使钱退到自己的支付宝账号中。
这里的验证码同样没有错误次数和时间限制，可用同样方法爆破。
获取真实的验证码后选择发布借款，借款成功后再退款，钱就到了自己的支付宝账户，
此漏洞如果被人利用，可能会给网站造成损失。
漏洞证明：
见以上说明。
修复方案：
1.限制手机验证码校验错误次数
2.增加手机验证码使用时间限制
版权声明：转载请注明来源 大象@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝