搜索

[12335] 2018-02-08_任意用户密码重置（三）：用户混淆

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-02-08_任意用户密码重置（三）：用户混淆 任 意 用 户 密 码 重 置 （ 三 ） ： 用 户 混 淆 y a n g y a n g w i t h g n u   F r e e B u f   2 0 1 8 - 0 2 - 0 8 * 本 文 原 创 作 者 ： y a n g y a n g w i t h g n u ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载   在 逻 辑 漏 洞 中 ， 任 意 用 户 密 码 重 置 最 为 常 见 ， 可 能 出 现 在 新 用 户 注 册 页 面 ， 也 可 能 是 用 户 登 录 后 重 置 密 码 的 页 在 逻 辑 漏 洞 中 ， 任 意 用 户 密 码 重 置 最 为 常 见 ， 可 能 出 现 在 新 用 户 注 册 页 面 ， 也 可 能 是 用 户 登 录 后 重 置 密 码 的 页 面 ， 或 者 用 户 忘 记 密 码 时 的 密 码 找 回 页 面 ， 其 中 ， 密 码 找 回 功 能 是 重 灾 区 。 我 把 日 常 渗 透 过 程 中 遇 到 的 案 例 作 面 ， 或 者 用 户 忘 记 密 码 时 的 密 码 找 回 页 面 ， 其 中 ， 密 码 找 回 功 能 是 重 灾 区 。 我 把 日 常 渗 透 过 程 中 遇 到 的 案 例 作 了 漏 洞 成 因 分 析 ， 这 次 ， 关 注 因 用 户 混 淆 导 致 的 任 意 用 户 密 码 重 置 问 题 。 了 漏 洞 成 因 分 析 ， 这 次 ， 关 注 因 用 户 混 淆 导 致 的 任 意 用 户 密 码 重 置 问 题 。 密 码 找 回 逻 辑 含 有 用 户 标 识 （ 用 户 名 、 用 户   I D 、 c o o k i e ） 、 接 收 端 （ 手 机 、 邮 箱 ） 、 凭 证 （ 验 证 码 、 t o k e n ） 、 当 前 步 骤 等 四 个 要 素 ， 若 这 几 个 要 素 没 有 完 整 关 联 ， 则 可 能 导 致 任 意 密 码 重 置 漏 洞 。 案 例 一 ： 通 过 案 例 一 ： 通 过   c o o k i e   混 淆 不 同 账 号 ， 实 现 重 置 任 意 用 户 密 码 。 混 淆 不 同 账 号 ， 实 现 重 置 任 意 用 户 密 码 。 密 码 找 回 页 面   h t t p s : / / m y . x x x x . c o m / p w d ， 用 攻 击 者 账 号   y a n g y a n g w i t h g n u   走 完 密 码 找 回 全 流 程 。 输 入 用 户 名 和 图 片 验 证 码 后 提 交 ： 验 证 为 有 效 用 户 名 后 ， 系 统 提 供 手 机 、 邮 箱 两 种 密 码 找 回 方 式 ， 选 用 邮 箱 方 式 ： 登 录 邮 箱 查 收 重 置 验 证 码 ：
输 入 重 置 验 证 码 ： 进 入 新 密 码 页 面 ， 输 入 后 提 交 ， 拦 截 请 求 如 下 ： 其 中 ， P H P S E S S I D = d c u s c 1 a h k n 4 i o q e e a v 9 c 6 e 0 b d q 、 U S E R _ A C C O U N T = y a n g y a n g w i t h g n u 、   U S E R _ A P P I D = 1 0 9 2   这 三 个 参 数 引 起 我 的 注 意 。 这 个 请 求 ， 用 于 重 置 账 号   y a n g y a n g w i t h g n u   密 码 ， 那 么 服 务 端 如 何 知 道 该 重 置   y a n g y a n g w i t h g n u 而 不 是   y a n g y a n g w i t h g n u 2 、 y a n g y a n g w i t h g n u 3   呢 ？ 刚 才 说 的 那 三 个 参 数 中 肯 定 有 一 个 用 于 该 目 的 。 逐 一 尝 试 发 现 ， P H P S E S S I D   就 是 它 。 这 让 我 闻 到 浓 郁 的   c o o k i e   混 淆 的 味 道 。 大 致 攻 击 思 路 ： 首 先 ， 用 攻 击 者 账 号   y a n g y a n g w i t h g n u   进 入 密 码 找 回 流 程 ， 查 收 重 置 验 证 码 、 通 过 校 验 ； 然 后 ， 输 入 新 密 码 后 提 交 ， 拦 截 中 断 该 请 求 ， 暂 不 发 至 服 务 端 ， 这 时 ， P H P S E S S I D   关 联
的 是   y a n g y a n g w i t h g n u   账 号 ； 接 着 ， 关 闭 浏 览 器 的   b u r p   代 理 ， 新 开 重 置 流 程 的 首 页 ， 在 页 面 中 输 入 普 通 账 号   l i u w e i   后 提 交 ， 这 时 ， P H P S E S S I D   已 关 联 成   l i u w e i   了 ； 最 后 ， 恢 复 发 送 之 前 中 断 的 请 求 ， 放 至 服 务 端 ， 理 论 上 ， 可 以 成 功 重 置   l i u w e i   的 密 码 。 用 上 述 思 路 尝 试 将   l i u w e i   密 码 重 置 为   P e n T e s t 1 0 2 4 ， 前 端 显 示 重 置 成 功 ： 尝 试 用   l i u w e i / P e n T e s t 1 0 2 4   登 录 ： 成 功 进 入 系 统 ：
同 理 可 重 置 管 理 员 账 号   a d m i n i s t r a t o r ， 为 避 免 影 响 业 务 ， 不 再 实 际 操 作 。 案 例 二 ： 通 过 篡 改 请 求 包 中 的 用 户 名 参 数 ， 实 现 重 置 任 意 用 户 密 码 。 案 例 二 ： 通 过 篡 改 请 求 包 中 的 用 户 名 参 数 ， 实 现 重 置 任 意 用 户 密 码 。 密 码 找 回 页 面   h t t p : / / w w w . x x x x . c n / g e t p a s s . h t m l ， 用 攻 击 者 账 号 走 完 密 码 找 回 全 流 程 ， 涉 及 三 步 请 求 ， 依 次 为 ： 验 证 用 户 名 是 否 存 在 、 获 取 短 信 验 证 码 、 提 交 短 信 验 证 码 和 新 密 码 。 第 三 步 的 请 求 拦 截 如 下 ： 各 参 数 作 用 从 其 命 名 可 了 解 。 尝 试 将   a c c o u n t n a m e   参 数 值 篡 改 为 普 通 账 号   z h a n g z h i q i a n g   后 放 行 ， 应 答 为 ： 重 定 向 至 登 录 页 面 。 用 普 通 账 号   z h a n g z h i q i a n g / P e n T e s t 1 0 2 4   登 录 成 功 。 查 看 个 人 信 息 ： 泄 漏 用 户 手 机 号 、 邮 箱 等 敏 感 信 息 。 查 看 视 频 监 控 设 备 列 表 ：
视 频 监 控 设 备 登 录 信 息 ： 登 录 后 可 查 看 实 时 视 频 监 控 ， 隐 私 考 量 ， 不 截 图 了 。 另 外 ， 密 码 找 回 流 程 第 三 步 的 请 求 中 的   v c o d e   参 数 为 短 信 验 证 码 ， 单 次 有 效 ， 不 可 复 用 ， 如 何 实 现 自 动 批 量 密 码 重 置 ？ 经 测 试 ， 将 该 参 数 置 空 ， 或 者 完 整 删 除 该 参 数 ， 服 务 端 不 再 校 验 短 信 验 证 码 。 综 上 ， 几 个 问 题 结 合 ， 可 导 致 任 意 用 户 密 码 重 置 。 案 例 三 ： 通 过 篡 改 带 案 例 三 ： 通 过 篡 改 带   t o k e n   的 重 置 链 接 中 的 用 户 名 ， 实 现 重 置 任 意 用 户 密 码 。 的 重 置 链 接 中 的 用 户 名 ， 实 现 重 置 任 意 用 户 密 码 。 h t t p : / / x x . x x x x . c o m / e c h a n n e l / f o r g e t P a s s w o r d /   为 重 置 密 码 页 面 。 攻 击 者 用 户   I D   为   4 2 5 5 8 。 输 入 攻 击 者 账 号 绑 定 的 邮 箱 后 点 击 “ 确 认 ” ， 收 到 如 下 带   t o k e n   的 密 码 重 置 链 接 ：
该 重 置 链 接 有 两 个 地 方 引 起 我 的 注 意 ： 一 是 ， N D I 1 N T g =   为   b a s e 6 4   编 码 ， 解 码 为   4 2 5 5 8 ， 正 是 攻 击 者 账 号 的 用 户 I D ； 二 是 ， 这 是 个   R E S T   风 格 的 请 求 。 所 以 ， 尝 试 用 普 通 账 号 的 用 户   I D   的   b a s e 6 4   编 码 替 换   N D I 1 N T g =   后 ， 成 功 重 置 该 普 通 用 户 的 密 码 。 特 别 注 意 ， 参 数 部 份 出 现   /   应 想 到 这 是   r e s t   风 格 的 参 数 和 参 数 值 。 防 御 措 施 方 面 ， 一 定 要 将 重 置 用 户 与 接 收 重 置 凭 证 作 一 致 性 比 较 ， 通 常 直 接 从 服 务 端 直 接 生 成 ， 不 从 客 户 端 获 取 。 另 外 ， 密 码 找 回 逻 辑 中 含 有 用 户 标 识 （ 用 户 名 、 用 户   I D 、 c o o k i e ） 、 接 收 端 （ 手 机 、 邮 箱 ） 、 凭 证 （ 验 证 码 、 t o k e n ） 、 当 前 步 骤 等 四 个 要 素 ， 这 四 个 要 素 必 须 完 整 关 联 ， 否 则 可 能 导 致 任 意 密 码 重 置 漏 洞 。 另 外 ， H T T P   参 数 污 染 、 参 数 未 提 交 等 问 题 ， 服 务 端 也 要 严 格 判 断 。 * 本 文 原 创 作 者 ： y a n g y a n g w i t h g n u ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理