漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0170174
漏洞标题：263企业邮箱和个人邮箱通杀任意用户密码修改
相关厂商：263通信
漏洞作者： 男丶壹号
提交时间：2016-01-15 15:58
修复时间：2016-01-18 09:04
公开时间：2016-01-18 09:04
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经修复
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-01-15： 细节已通知厂商并且等待厂商处理中
2016-01-15： 厂商已经确认，细节仅向厂商公开
2016-01-18： 厂商已经修复漏洞并主动公开，细节向公众公开
简要描述：
263企业邮箱和个人邮箱通杀任意用户密码修改。
以admin@net263.com为例。
详细说明：
1、首先，注册一个邮箱：
http://store.263.net/register/first.html
2、注册送10元，刚好可以买1个月的天下邮：
3、立即支付，抓包，有如下接口：
将其中的mail参数改成admin@net263.com试试：
返回false了，表示很遗憾。
4、再来看看个人中心，发现竟然有邮箱了，而且10块钱也没扣：
5、难道就这么简单，任意用户登录了？赶紧来试试单点登录：
然而，点击了以后，没有任何反应......
6、抓包，发现单点登录接口返回的url为空，怪不得不能登录：
7、总感觉不对劲，邮箱都已经绑定了，肯定有问题。
8、找到官方邮箱登录口，用绑定的邮箱+我刚注册用的密码：
9、登录，提示要修改密码，说我的密码太弱（密码太弱而已，说明已经可以登录了？）：
10、然后修改密码，保存，提示保存失败：
11、既然上面无法修改密码，那如果我去个人中心修改密码为强密码：
12、修改以后，再次登录邮箱，OK，再次进入：
通讯录：
漏洞证明：
为了证明可以通杀企业邮箱，又不对其他用户造成影响，
我利用此方法登录了自己公司的admin账号：
###良心测试，发现问题，第一时间提交，希望不要查我水表。
#至此，只需随便注册一个手机账号，即可绑定任意邮箱，实现任意邮箱密码修改。
修复方案：
问题主要原因还是购买天下邮时的接口：
这其中的逻辑你们更懂。
版权声明：转载请注明来源 男丶壹号@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2016-01-15 16:33
厂商回复：
感谢，20
最新状态：
2016-01-18：已修复，谢谢。