漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0146573
漏洞标题：富友集团某功能设计缺陷可重置用户密码（土豪账号演示）
相关厂商：fuiou.com
漏洞作者： zhchbin
提交时间：2015-10-15 14:22
修复时间：2015-11-29 15:26
公开时间：2015-11-29 15:26
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-10-15： 细节已通知厂商并且等待厂商处理中
2015-10-15： 厂商已经确认，细节仅向厂商公开
2015-10-25： 细节向核心白帽子及相关领域专家公开
2015-11-04： 细节向普通白帽子公开
2015-11-14： 细节向实习白帽子公开
2015-11-29： 细节向公众公开
简要描述：
海富友金融网络技术有限公司自2008年创立至今，已发展成为一家大型综合性金融支付服务集团公司——注册资本2.0007亿元，实收资本3.8亿元，下设6家全资子公司，同时拥有6张支付及金融服务牌照，并在全国设立了35家分公司。
很大的公司啊！！！
详细说明：
先正常流程一步一步来，目标：重置土豪账号（18888888888）密码。
1. 检查一下账号是否已经注册。
2. 用另外一个已经注册了的手机号，使用找回密码功能
3. 输入手机接收到的验证码（6位，还有字母，安全性不错）
4. F12查看网页源码，找到自己的手机号，改成目标用户手机号（18888888888），密码不能是纯数字，所以用了 12345678a
5. 重置成功
漏洞证明：
登录一下土豪的账号看看。
修复方案：
输个密码还要有安全控件，这个你们懂啊！
版权声明：转载请注明来源 zhchbin@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2015-10-15 15:25
厂商回复：
感谢发现问题，已经在处理中。
最新状态：
暂无