当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0119703

漏洞标题：乾贷网客户端奇葩设计秒改任意用户密码（组合拳攻击）

相关厂商：qiandw.com

漏洞作者： 鸟云厂商

提交时间：2015-06-11 10:42

修复时间：2015-07-27 12:54

公开时间：2015-07-27 12:54

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-06-11： 细节已通知厂商并且等待厂商处理中
2015-06-12： 厂商已经确认，细节仅向厂商公开
2015-06-22： 细节向核心白帽子及相关领域专家公开
2015-07-02： 细节向普通白帽子公开
2015-07-12： 细节向实习白帽子公开
2015-07-27： 细节向公众公开

简要描述：

乾贷网客户端奇葩设计秒改任意用户密码（组合拳攻击）

详细说明：

真是个奇葩设计，首先在登录处用正确账号登录来看看Response

{"result":"1","user":{"id":"48469","username":"wooyun","email":"","realname":"","idcard":"","mobile":"*******","createtime":"2015-06-11 04:32:19","pushState":{"is_financial":false,"is_experience":false}}}


说好的token、cookie呢？
只有个SERVERID不知道干嘛的
然后接下来配合https://www.qiandw.com/Account/Register?pid=***会直接显示用户手机号码的漏洞来打一套组合拳
我们假设存在用户id为20088（其实就有，看id排序可以看出来）
然后我们再次进行登录，用正确账号登录，抓包把Response改成：

{"result":"1","user":{"id":"20088","username":"wooyun","email":"","realname":"","idcard":"","mobile":"*******","createtime":"2015-06-11 04:32:19","pushState":{"is_financial":false,"is_experience":false}}}


客户端提示：登陆成功，此时虽然还是显示user：wooyun登录，但是已经在读取id为20088的用户的信息了，余额、交易记录等

IMG_0575.PNG


IMG_0576.PNG


进入客户端-我的财富-安全中心-修改登陆密码

IMG_0578.PNG


需要输入当前密码，这是另一个大坑了，居然在前端校验输入的密码是否当前登录用户的密码
burp告诉我，这一步完全没有和后端做任何数据交流啊啊啊啊啊？？？？
此时输入正确用户的密码（用户名wooyun密码gggggg）
然后新密码输入（我设置为wooyun666）
服务端返回：

{"result":"1"}


设置成功了

IMG_0577.PNG


此时用到https://www.qiandw.com/Account/Register?pid=20088
显示了手机号

EEF78041-A70E-4530-B1B0-DD826B0F0180.png


用手机号码+密码wooyun666登录

屏幕快照 2015-06-11 上午6.05.08.png


呵。呵。呵呵呵。。。

漏洞证明：

修复方案：

麻烦前端和后端多沟通一下。。。

版权声明：转载请注明来源 鸟云厂商@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：3

确认时间：2015-06-12 12:52

厂商回复：

谢谢白帽子童鞋的提交，我们将急时修复！！！

最新状态：

暂无