漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-084121
漏洞标题：真旅网某内部系统严重缺陷可爆破大量帐号
相关厂商：真旅网集团
漏洞作者： 白非白
提交时间：2014-11-21 15:02
修复时间：2015-01-05 15:04
公开时间：2015-01-05 15:04
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-11-21： 细节已通知厂商并且等待厂商处理中
2014-11-21： 厂商已经确认，细节仅向厂商公开
2014-12-01： 细节向核心白帽子及相关领域专家公开
2014-12-11： 细节向普通白帽子公开
2014-12-21： 细节向实习白帽子公开
2015-01-05： 细节向公众公开
简要描述：
有钱的厂商就是任性，不过我喜欢。
详细说明：
#1 前人栽树，后人乘凉
WooYun: 真旅网内部管理系统存在弱口令（导致可直接登陆内部论坛，可对其进行一系列的操作） 此漏洞暴露出oa系统地址。
厂商回复：admin用户已删，略屌。不过话说删用户就解决问题了么？
#2 胆大心细，一探究竟
话不多说，直接来到登录页面，尝试一下，提示“用户不存在”，还有验证码
就在我要放弃，关闭页面的时候，不小心手滑了一下，点到查看源码了（上帝之手啊。。），然后看到了重点。手机登录隐藏验证码，果断手机打开看了下，真的隐藏了验证码。
#3 深入虎穴，再续前缘
既然隐藏了验证码，后端肯定也就不会判断验证码了，那就抓包看看，提交了什么数据。（第一张图是pc浏览器提交的，所以有验证码参数）
修改一下参数，模拟手机登录
成功绕过验证码
验证码绕过了，另一个问题就是用户有哪些？根据登陆框处提示，可以以用户名、邮箱、员工号登录，用户名的命中率比较低，邮箱猜了几个admin，support，oa，kefu之类的也都提示无此帐号，比较连续，比较好猜的就剩员工号了，员工号如何找呢？
wen.lu里搜了一下site:travelzen.com 员工号，零结果。
正当我要放弃时，手一抖，又打开了前人的漏洞页面（这手真是抖得及时啊）。发现这么个东西：
继续测试是否员工号：
#4 长驱直入，势如破竹
丢到burpsuite instruder中遍历员工号即可。
最简单的统计，使用123456作为密码的900中有60个。
漏洞证明：
遍历参数设置
统计结果
修复方案：
如果真的非常注重移动端的用户体验，就把后端功能强化一下，至少单用户或ip登录尝试次数做一下限制。
注意细节。
版权声明：转载请注明来源 白非白@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-11-21 16:50
厂商回复：
感谢你为真旅网集团系统安全做出的贡献！
我们欢迎和鼓励白帽子在不影响系统、破坏系统以及窃取数据的前提下，对我们真旅网旗下各个平台做安全检测，提供技术细节以及解决方案、预防方案。
我们将根据漏洞等级/严重程度给予报告漏洞的白帽子发放相应的Rank及礼物。
真旅网集团及其旗下主要业务系统列表：
天地行： (主平台)
运营商：http:///
供应商：http:///
B2G： http:///
真旅网：
不夜城：
最新状态：
暂无