搜索

[26595] 2018-01-24_【转载】任意用户密码重置（一）：重置凭证泄漏

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2018-01-24_【转载】任意用户密码重置（一）：重置凭证泄漏 【 转 载 】 任 意 用 户 密 码 重 置 （ 一 ） ： 重 置 凭 证 泄 漏 y a n g y a n g w i t h g n u   m o o n s e c   2 0 1 8 - 0 1 - 2 4 * 本 文 作 者 ： 本 文 作 者 ： y a n g y a n g w i t h g n u ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 在 逻 辑 漏 洞 中 ， 任 意 用 户 密 码 重 置 最 为 常 见 ， 可 能 出 现 在 新 用 户 注 册 页 面 ， 也 可 能 是 用 户 登 录 后 重 置 密 码 的 页 面 ， 或 者 用 户 忘 记 密 码 时 的 密 在 逻 辑 漏 洞 中 ， 任 意 用 户 密 码 重 置 最 为 常 见 ， 可 能 出 现 在 新 用 户 注 册 页 面 ， 也 可 能 是 用 户 登 录 后 重 置 密 码 的 页 面 ， 或 者 用 户 忘 记 密 码 时 的 密 码 找 回 页 面 。 其 中 ， 密 码 找 回 功 能 是 重 灾 区 。 我 把 日 常 渗 透 过 程 中 遇 到 的 案 例 作 了 漏 洞 成 因 分 析 ， 这 次 ， 关 注 因 重 置 凭 证 泄 漏 导 致 的 任 意 用 码 找 回 页 面 。 其 中 ， 密 码 找 回 功 能 是 重 灾 区 。 我 把 日 常 渗 透 过 程 中 遇 到 的 案 例 作 了 漏 洞 成 因 分 析 ， 这 次 ， 关 注 因 重 置 凭 证 泄 漏 导 致 的 任 意 用 户 密 码 重 置 问 题 。 户 密 码 重 置 问 题 。 案 例 一 案 例 一 用 邮 件 找 回 密 码 时 ， 作 为 重 置 凭 证 的 验 证 码 在   H T T P   应 答 中 下 发 客 户 端 ， 抓 包 后 可 轻 易 获 取 。 先 用 攻 击 者 账 号 走 一 次 密 码 找 回 流 程 ， 测 试 账 号 y a n g y a n g w i t h g n u @ y e a h . n e t   选 用 邮 箱 找 回 密 码 ： 点 击 获 取 校 验 码 后 抓 取 如 下 应 答 ： 其 中 ， V F C o d e   从 字 面 理 解 很 可 能 是 校 验 码 。 登 录 邮 箱 查 看 网 站 发 过 来 的 密 码 找 回 邮 件 ：
发 现 两 者 一 致 ， 那 么 ， 几 乎 可 以 确 认 服 务 端 将 密 码 找 回 的 校 验 码 泄 漏 至 客 户 端 ， 可 导 致 任 意 账 号 密 码 重 置 问 题 。 尝 试 找 回 普 通 账 号 的 密 码 。 密 码 找 回 首 页 输 入 邮 箱 后 ， 系 统 将 立 即 校 验 该 邮 箱 是 否 注 册 ： 将   U N a m e   参 数 定 义 为 枚 举 变 量 ， 以 常 见   q q   邮 箱 作 为 字 典 ， 可 枚 举 出 多 个 有 效 邮 箱 ： 以   c h e n w e i @ q q . c o m   为 例 ， 在 应 答 包 中 找 到 校 验 码 ， 成 功 将 其 密 码 重 置 为   P e n T e s t 1 0 2 4 ， 验 证 可 登 录 ： 尝 试 找 回 管 理 员 账 号 的 密 码 。 从 该 网 站 的 域 名 注 册 信 息 中 找 到 联 系 人 的 邮 箱 为   f i s h l i u @ x x x x . c n ， 可 推 测 后 台 用 户 的 邮 箱 后 缀 为   @ x x x x . c n ， 所 以 ， 用 常 见 后 台 用 户 名 简 单 调 整 可 构 造 出 后 台 用 户 邮 箱 字 典 ， 枚 举 出 大 量 后 台 用 户 ：
同 理 可 重 置 这 些 后 台 用 户 的 账 号 密 码 ， 为 避 免 影 响 业 务 ， 不 再 实 际 操 作 。 案 例 二 案 例 二 用 邮 件 找 回 密 码 时 ， 带 凭 证 的 重 置 链 接 泄 漏 至 客 户 端 ， 抓 捕 可 获 取 。 用 攻 击 者 账 号 走 一 次 密 码 找 回 流 程 。 在 找 回 密 码 页 面 输 入 攻 击 者 账 号 及 其 邮 箱 （ y a n g y a n g w i t h g n u 、 y a n g y a n g w i t h g n u @ y e a h . n e t ） 后 提 交 ： 拦 截 如 下 应 答 ： 显 然 是 个 重 定 向 ， i s V e r i f y 、 P a s s P h r a s e   这 两 个 参 数 很 可 疑 ， 后 续 交 互 中 应 留 意 ， 先 放 包 ， 进 入 发 送 重 置 邮 件 的 页 面 ， 输 入 验 证 码 后 提 交 。 登 录 攻 击 者 邮 箱 查 看 重 置 邮 件 ：
这 个 带   t o k e n   的 重 置 链 接 似 曾 相 识 ， 对 ， 就 是 前 面 抓 包 获 取 的   t o k e n   信 息 ， 比 对 看 下 ： 唯 一 区 别   f o r g o t P w d E a   和   f o r g o t P w d E c   两 个 文 件 名 。 接 下 来 验 证 通 过 服 务 端 泄 漏 的   t o k e n   能 否 重 置 普 通 用 户 的 账 号 密 码 。 从 重 置 流 程 可 知 ， 要 重 置 密 码 必 须 提 供 用 户 名 及 其 邮 箱 （ 或 手 机 号 ） 。 获 取 有 效 用 户 名 。 注 册 页 面 中 ， 输 入 用 户 名 后 立 即 校 验 该 用 户 名 是 否 被 占 用 ： 对 应 请 求 、 应 答 如 下 ： 用 户 名 已 存 在 返 回   f a i l e d ， 不 存 在 返 回   o k 。 以 此 特 征 ， 用 常 见 国 人 姓 名 字 典 ， 可 枚 举 出 大 量 有 效 用 户 名 （ 如   c h e n c h u a n 、 c h e n a n q i 、 c h e n a n x i u 、 z h a n g f e n g 等 等 ） ， 存 为   u s e r n a m e . t x t 。 获 取 有 效 用 户 名 对 应 邮 箱 。 密 码 找 回 首 页 提 交 的 请 求 中 ， u s e r _ n a m e   与   e m a i l   参 数 匹 配 情 况 下 ， H T T P   应 答 代 码 为   3 0 2 ， 交 互 包 如 下 ： f o r g o t P w d E a . p h p ? i s V e r i f y = e W F u Z 3 l h b m d 3 a X R o Z 2 5 1 f H l h b m d 5 Y W 5 n d 2 l 0 a G d u d U B 5 Z W F o L m 5 l d H w 2 M z Q y N D k w & P a s s P h r a s e = 0 1 e 4 f 6 d 4 e d e 8 1 b 2 6 0 4 d c 3 2 0 b c 4 e 3 a 6 e 8 f o r g o t P w d E c . p h p ? i s V e r i f y = e W F u Z 3 l h b m d 3 a X R o Z 2 5 1 f H l h b m d 5 Y W 5 n d 2 l 0 a G d u d U B 5 Z W F o L m 5 l d H w 2 M z Q y N D k w & P a s s P h r a s e = 0 1 e 4 f 6 d 4 e d e 8 1 b 2 6 0 4 d c 3 2 0 b c 4 e 3 a 6 e 8
可 以 此 特 征 枚 举 有 效 用 户 名 及 其 邮 箱 。 现 在 考 虑 如 何 制 作 邮 箱 字 典 ？ 很 多 用 户 喜 欢 用 用 户 名 注 册   q q   邮 箱 ， 换 言 之 ， 用 户 名   y a n g y a n g w i t h g n u   可 能 对 应 邮 箱   y a n g y a n g w i t h g n u @ q q . c o m 。 所 以 ， 用 前 面 已 经 获 取 有 效 用 户 名 字 典   u s e r n a m e . t x t   快 速 制 作 了 邮 箱 字 典   q q - e m a i l . t x t ， 其 中 ， u s e r n a m e . t x t   与   q q - e m a i l . t x t 逐 行 对 应 。 例 如 ， 前 者 第 一 行 为   y a n g y a n g w i t h g n u 、 后 者 第 一 行 为   y a n g y a n g w i t h g n u @ q q . c o m 。 将 上 面 的 数 据 包 放 入   b u r p   的   i n t r d u e r   中 ， 攻 击 类 型 选   p i t c h f o r k 、 u s e r _ n a m e   的 参 数 值 定 义 为 枚 举 变 量   1   并 加 载 字 典   u s e r n a m e . t x t 、 e m a i l   的 参 数 值 定 义 为 枚 举 变 量   2   并 加 载 字 典   q q - e m a i l . t x t ， 可 枚 举 出 大 量 有 效 用 户 名 / 邮 箱 信 息 ， 如 ， z h a n g f e n g / z h a n g f e n g @ q q . c o m 、 c h e n c h u a n / c h e n c h u a n @ q q . c o m   等 等 。 用 普 通 账 号   c h e n c h u a n / c h e n c h u a n @ q q . c o m   演 示 密 码 重 置 漏 洞 。 输 入 用 户 名 、 密 码 提 交 ， 正 常 完 成 密 码 找 回 逻 辑 ， 从 交 互 包 中 获 取 服 务 端 下 发 的 重 置 t o k e n ： 拼 装 为 重 置 链 接   h t t p : / / w w w . x x x x . c o m / u s e r / f o r g o t P w d E c . p h p ? i s V e r i f y = Y 2 h l b m N o d W F u f G N o Z W 5 j a H V h b k B x c S 5 j b 2 1 8 M T E 2 M D I z N w = = & P a s s P h r a s e = c b f 0 1 6 0 6 6 2 3 5 8 8 0 8 f 3 5 8 6 8 6 8 f 0 4 1 c b a a   ， 访 问 之 ， 即 可 进 入 密 码 重 置 页 面 ： 输 入 新 密 码   P e n T e s t 1 0 2 4   后 系 统 提 示 修 改 成 功 。 用   c h e n c h u a n / P e n T e s t 1 0 2 4   成 功 登 录 ： i s V e r i f y = Y 2 h l b m N o d W F u f G N o Z W 5 j a H V h b k B x c S 5 j b 2 1 8 M T E 2 M D I z N w = = & P a s s P h r a s e = c b f 0 1 6 0 6 6 2 3 5 8 8 0 8 f 3 5 8 6 8 6 8 f 0 4 1 c b a a  
防 御 措 施 上 ， 密 码 找 回 的 凭 证 切 勿 下 发 客 户 端 ， 另 外 ， 校 验 邮 箱 是 否 有 效 应 添 加 图 片 验 证 码 ， 以 防 止 关 键 参 数 被 枚 举 。 * 本 文 作 者 ： 本 文 作 者 ： y a n g y a n g w i t h g n u ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理