搜索

[12433] 2018-03-06_任意用户密码重置（四）：重置凭证未校验

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-03-06_任意用户密码重置（四）：重置凭证未校验 任 意 用 户 密 码 重 置 （ 四 ） ： 重 置 凭 证 未 校 验 原 创   y a n g y a n g w i t h g n u   F r e e B u f   2 0 1 8 - 0 3 - 0 6 * 本 文 作 者 ： y a n g y a n g w i t h g n u ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 在 逻 辑 漏 洞 中 ， 任 意 用 户 密 码 重 置 最 为 常 见 ， 可 能 出 现 在 新 用 户 注 册 页 面 ， 也 可 能 是 用 户 登 录 后 重 置 密 码 的 页 在 逻 辑 漏 洞 中 ， 任 意 用 户 密 码 重 置 最 为 常 见 ， 可 能 出 现 在 新 用 户 注 册 页 面 ， 也 可 能 是 用 户 登 录 后 重 置 密 码 的 页 面 ， 或 者 用 户 忘 记 密 码 时 的 密 码 找 回 页 面 ， 其 中 ， 密 码 找 回 功 能 是 重 灾 区 。 我 把 日 常 渗 透 过 程 中 遇 到 的 案 例 作 面 ， 或 者 用 户 忘 记 密 码 时 的 密 码 找 回 页 面 ， 其 中 ， 密 码 找 回 功 能 是 重 灾 区 。 我 把 日 常 渗 透 过 程 中 遇 到 的 案 例 作 了 漏 洞 成 因 分 析 ， 这 次 ， 关 注 因 重 置 凭 证 未 校 验 导 致 的 任 意 用 户 密 码 重 置 问 题 。 了 漏 洞 成 因 分 析 ， 这 次 ， 关 注 因 重 置 凭 证 未 校 验 导 致 的 任 意 用 户 密 码 重 置 问 题 。 传 送 门 ： 传 送 门 ： 任 意 用 户 密 码 重 置 （ 一 ） ： 重 置 凭 证 泄 漏 任 意 用 户 密 码 重 置 （ 二 ） ： 重 置 凭 证 接 收 端 可 篡 改 任 意 用 户 密 码 重 置 （ 三 ） ： 用 户 混 淆 密 码 找 回 需 要 鉴 别 用 户 的 合 法 身 份 ， 证 明 你 就 是 你 ， 通 常 有 两 种 做 法 ， 一 是 网 站 将 重 置 验 证 码 发 至 用 户 绑 定 的 邮 箱 或 手 机 号 ， 用 户 持 重 置 验 证 码 证 明 你 就 是 你 ， 二 是 用 户 输 入 密 码 保 护 问 题 对 应 的 答 案 。 其 中 ， 验 证 码 、 密 保 答 案 就 是 重 置 密 码 的 重 要 凭 证 。 在 日 常 对 密 码 找 回 功 能 的 攻 击 中 ， 我 的 大 部 份 精 力 聚 焦 在 是 否 可 以 暴 破 验 证 码 、 是 否 可 以 劫 持 接 收 验 证 码 的 手 机 号 或 邮 箱 、 是 否 可 以 混 淆 重 置 其 他 账 号 、 是 否 可 以 绕 过 验 证 步 骤 、 甚 至 是 猜 测 重 置   t o k e n   的 生 成 规 律 等 攻 击 方 式 上 ， 反 而 忽 略 了 最 容 易 、 最 低 技 术 含 量 的 一 种 方 式 — — 服 务 端 未 校 验 重 置 凭 证 。 换 言 之 ， 不 论 你 输 入 的 重 置 验 证 码 或 密 保 答 案 是 否 正 确 ， 只 要 请 求 格 式 无 误 ， 均 可 成 功 重 置 任 意 账 号 密 码 。 我 举 两 个 真 实 案 例 （ 漏 洞 均 已 修 复 ， 就 不 打 码 了 ） ， 你 感 受 下 。 案 例 一 ： 因 服 务 端 未 校 验 案 例 一 ： 因 服 务 端 未 校 验   t o k e n   导 致 可 重 置 任 意 账 号 密 码 导 致 可 重 置 任 意 账 号 密 码 密 码 找 回 页 面   h t t p : / / w w w . o m e g a t r a v e l . n e t / u s e r s / r e t r i e v e P a s s w o r d /   用 攻 击 者 账 号   y a n g y a n g w i t h g n u @ y e a h . n e t   进 入 密 码 找 回 全 流 程 ， 输 入 图 片 验 证 码 后 提 交 ： 随 后 收 到 带   t o k e n   的 密 码 重 置 链 接 的 邮 件 ：
其 中 ， k e y : F q v I C T   和   u s e r E m a i l : y a n g y a n g w i t h g n u @ y e a h . n e t   引 起 了 我 的 注 意 。 正 常 来 说 ， 提 交 该   U R L   后 ， 服 务 端 会 校 验   k e y   与   u s e r E m a i l   是 否 匹 配 ， 若 匹 配 则 进 入 提 交 新 密 码 页 面 ， 若 不 匹 配 则 报 错 。 现 在 ， 我 尝 试 将   k e y   从   F q v I C T 改 为   x x x x x x   后 再 访 问 ， 本 来 心 理 预 期 将 看 到 报 错 页 面 ， 没 想 到 进 入 了 新 密 码 提 交 页 面 ， 难 倒 所 谓 的 重 置   t o k e n   仅 仅 是 个 摆 设 ？ 赶 紧 找 个 账 号 试 试 ， 就 拿 信 息 收 集 时 找 到 的   t r a v e l 2 4 @ o m e g a t r a v e l . n e t   为 例 （ 更 多 后 台 账 号 见 后 文 ） 。 参 照 前 面 收 到 的 重 置 链 接 格 式 ， 简 单 拼 装 为   h t t p : / / w w w . o m e g a t r a v e l . n e t / u s e r s / r e t r i e v e P a s s w o r d R e s e t / k e y : x x x x x x / u s e r E m a i l : t r a v e l 2 4 @ o m e g a t r a v e l . n e t ， 是 滴 ， k e y   的 值 我 随 便 写 的 ， 访 问 看 看 ， 哇 ， 居 然 真 的 进 入 了 新 密 码 提 交 页 面 ： 输 入 新 密 码   P e n T e s t 1 0 2 4   后 提 交 ， 网 站 提 示 “ 修 改 密 码 成 功 ” 。 尝 试 用   t r a v e l 2 4 @ o m e g a t r a v e l . n e t / P e n T e s t 1 0 2 4   登 录 ， 成 功 进 入 系 统 ：
如 何 获 取 其 他 账 号 ？ 从 注 册 页 面 可 知 ， 该 网 站 只 能 用 邮 箱 注 册 ， 邮 箱 即 账 号 。 我 关 心 普 通 用 户 和 内 部 员 工 用 户 两 类 账 号 （ 即 邮 箱 ） 。 普 通 用 户 的 邮 箱 字 典 方 面 ， 把 国 人 常 见 姓 名 拼 音   t o p 5 0 0   结 合 常 见 邮 箱 后 缀 （ @ q q . c o m 、 @ 1 6 3 . c o m   等 等 ） 快 速 生 成 个 简 单 邮 箱 字 典 ； 内 部 员 工 的 邮 箱 方 面 ， 我 从 该 网 站 域 名 注 册 信 息 查 询 到 联 系 人 为 o m e g a i t @ o m e g a u k . n e t ， 说 明 该 公 司 使 用   @ o m e g a u k . n e t   的 邮 箱 后 缀 ， 同 上 ， 把 国 人 常 见 姓 名 拼 音   t o p 5 0 0 、 常 见 后 台 账 号 ， 结 合   @ o m e g a u k . n e t   邮 箱 后 缀 ， 快 速 生 邮 箱 字 典 ； 另 外 ， 从 “ 联 系 我 们 ” 、 “ 诚 聘 英 才 ” 、 “ 公 司 简 介 ” 等 页 面 找 到 大 量 内 部 员 工 邮 箱 和 合 作 伙 伴 邮 箱 ， 如   i n f o @ j a d e t r a v e l . c o . u k 、 i n f o @ u k c h i n e s e . c o m   等 等 ： 将 以 上 几 类 邮 箱 字 典 存 为   m a i l . t x t   也 就 是 用 户 名 。
这 样 ， 我 不 仅 可 以 重 置 普 通 账 号 的 密 码 ， 还 能 劫 持 大 量 内 部 员 工 、 合 作 伙 伴 的 账 号 ， 为 避 免 影 响 业 务 ， 不 再 实 际 操 作 。 案 例 二 ： 可 枚 举 无 密 保 的 用 户 名 ， 导 致 任 意 密 保 答 案 均 可 重 置 密 码 案 例 二 ： 可 枚 举 无 密 保 的 用 户 名 ， 导 致 任 意 密 保 答 案 均 可 重 置 密 码 在 密 码 找 回 页 面   h t t p : / / w w w . h z p z s . n e t / u _ f i n d P a s s w o r d . a s p   输 入 有 效 用 户 名   y a n g y a n g w i t h g n u   后 拦 截 请 求 包 ： 猜 测 该 数 据 包 用 于 用 户 名 有 效 性 校 验 ， 放 至   r e p e a t e r   中 分 析 。 由 于 没 用 图 片 验 证 码 ， 导 致 可 枚 举 有 效 用 户 名 ， 发 现 三 类 情 况 。 一 是 ， 用 户 名 存 在 且 设 置 过 密 保 问 题 ， 应 答 类 似 ： 二 是 ， 用 户 名 存 在 但 未 设 置 密 保 问 题 ， 应 答 类 似 ：
三 是 ， 无 效 用 户 名 ， 则 应 答 类 似 ： 用 常 见 用 户 名 和 中 国 人 姓 名 拼 音 作 为 字 典 进 行 枚 举 ， 在 所 有 结 果 中 过 滤 显 示 含 有 关 键 字   的 应 答 ， 得 到 的 所 有 U s e r N a m e   参 数 值 即 为 未 设 置 密 保 问 题 的 用 户 名 。 如 ： a a r o n 、 a d m i n 、 a d o l p h 、 a l i s a 、 c h e n c h e n 、 e s t h e r 、 j o n e s   等 等 。 按 正 常 流 程 ， 对   c h e n x i n   进 行 密 码 重 置 ， 输 入 任 意 密 保 答 案 均 可 重 置 密 码 ： 加 固 措 施 加 固 措 施 密 码 重 置 凭 证 一 定 要 严 格 校 验 ， 空 密 保 问 题 时 禁 止 通 过 密 保 找 回 密 码 ； 服 务 端 应 限 制 枚 举 等 恶 意 请 求 。 另 外 ， 鞭 打 开 鞭 打 开 发 人 员 ， 皮 鞭 加 盐 发 人 员 ， 皮 鞭 加 盐 。 。 点 击 阅 读 原 文 ， 查 看 前 情 提 要 * 本 文 作 者 ： y a n g y a n g w i t h g n u ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理