漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0127042
漏洞标题：荷包金融客户端《荷包》可以重置任意账号密码
相关厂商：hebaodai.com
漏洞作者： 晨曦遇晓
提交时间：2015-08-25 12:20
修复时间：2015-10-09 17:16
公开时间：2015-10-09 17:16
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-08-25： 细节已通知厂商并且等待厂商处理中
2015-08-25： 厂商已经确认，细节仅向厂商公开
2015-09-04： 细节向核心白帽子及相关领域专家公开
2015-09-14： 细节向普通白帽子公开
2015-09-24： 细节向实习白帽子公开
2015-10-09： 细节向公众公开
简要描述：
荷包金融客户端《荷包》可以重置任意账号密码，官网地址：http://www.hebaodai.com/
详细说明：
官网：http://www.hebaodai.com/
客户端详情：
apk : com.hebao.app, 2200, 2.2.0.0, 荷包
apkmd5: 719daf0abc69223b724964a9a1830652
证书 :
certmd5: f8e03074b185b97e8812251bd12a87c2
issuer: CN=hebao
subject: CN=hebao
漏洞证明：
1、点击忘记密码。
2、用户操作成功时，服务器返回数据为：
{"Data":true,"Success":true,"ErrorCode":null,"ErrorMessage":null}
3、随意输入验证码，比如123456
3、使用成功时服务器返回的数据替换服务器返回的数据。
4、客户端会跳转到下一步的密码重置页面。
5、输入重置密码点击确定后，重置成功。
6、利用方式：在投资那项，可以看到账号的5位数字以及账户金额，写个脚本可以将账号跑出来，下面就可以修改密码，是否可以窃取账户金额就没做了。
以上账号是自己注册的，因为注册时的验证码也是在本地判断，可以轻易绕过，任意手机号注册。
修复方案：
服务器验证
版权声明：转载请注明来源 晨曦遇晓@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2015-08-25 17:14
厂商回复：
感谢 晨曦遇晓 为荷包开发小组发现该漏洞，为了表示对你的感谢，我们将为漏洞作者发送礼物；我们已确认该漏洞的存在，这个漏洞确实会对使用2.3以下版本的帐户造成登陆及投资困扰。
荷包团队在此对荷包用户声明：荷包帐户资金安全是基于同卡进出。用白话来说就是用户的荷包帐户资金只能是从哪张卡上充进来，最后出去也必须是去到那张卡上。
另外，今早紧急修复了该BUG，并发布了一个新版，现在荷包的用户可以各大知名应用市场或官网下载并升级安装最新版【推荐，网址：】。
最新状态：
2015-08-25：荷包APP 2.4版已修复