漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-090094
漏洞标题：ppmoney设置不当导致任意用户登录密码交易密码被修改
相关厂商：ppmoney.com
漏洞作者： 忽然之间
提交时间：2015-01-08 09:26
修复时间：2015-01-16 15:43
公开时间：2015-01-16 15:43
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经修复
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-01-08： 细节已通知厂商并且等待厂商处理中
2015-01-08： 厂商已经确认，细节仅向厂商公开
2015-01-16： 厂商已经修复漏洞并主动公开，细节向公众公开
简要描述：
ppmoney设置不当导致任意用户登录密码，交易密码被修改，可修改任意用户的登陆密码，交易密码，影响用户资金安全
详细说明：
ppmoney 找回密码功能设置有严重问题，可通过自己手机收到的验证码，修改任意用户的密码
在登陆处点击忘记密码，填写自己的手机号，点击获取验证码
填写收到的验证码，提交，拦截，把手机号修改成要修改ppmoney用户的手机号码
如果没有实名认证，就可以直接修改了
如果有实名认证，就需要填写身份证后6位，或者填写交易密码，这步我尝试了用burpsuit 爆破，这样会触发ppmoney 的规则，账户会被锁定，但是要搞一个投资者的身份证信息，应该不难吧？
成功登陆一个用户的信息
漏洞证明：
在登陆处点击忘记密码，填写自己的手机号，点击获取验证码
填写收到的验证码，提交，拦截，把手机号修改成要修改ppmoney用户的手机号码
如果没有实名认证，就可以直接修改了
如果有实名认证，就需要填写身份证后6位，或者填写交易密码，这步我尝试了用burpsuit 爆破，这样会触发ppmoney 的规则，账户会被锁定，但是要搞一个投资者的身份证信息，应该不难吧？
成功登陆一个用户的信息
成功登陆后就可以修改用户交易密码了，修改交易密码需要用到burpsuit破解一个4位数的验证码，完全不是问题
修复方案：
找回交易密码服务端做验证
加强验证码强度
版权声明：转载请注明来源 忽然之间@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2015-01-08 10:52
厂商回复：
对输入的手机号在服务器端未做校验导致漏洞，漏洞是近期程序修改导致，已经紧急修复完成，感谢提供者和乌云平台。
PPmoney互联网理财平台一直非常重视信息安全工作，因此身份证爆破会触发账户锁定，同时需要知道投资者的手机号和身份证信息，利用需要一定条件。
另外，PPmoney理财平台的设置是：投资资金只能返回到与投资者身份证绑定充值卡内，无法转入他人银行卡，所以即使投资者账户被盗，也不会导致资金损失，请广大投资者放心。
目前PPmoney在高速成长中，在金融端已经建设了32道风险控制平台，金融投资项目安全稳健，7~18%的年化收益率，由保险理赔的用户资金安全，投资项目保本保息，“有保险，更安全”。我方会继续加强信息安全工作，在互联网端也建设安全、可靠、诚信、共赢的投资平台。
感谢广大白帽子黑客和乌云平台，如果想加入未来的大趋势互联网金融行业，PPmoney竭诚欢迎广大信息安全人才加入，请联系我们 Email: ，QQ:
最新状态：
2015-01-16：已修复漏洞