漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-035130
漏洞标题：印象码验证存在重大逻辑问题可以简单绕过（数千网站受影响）
相关厂商：印象码
漏洞作者： lemon
提交时间：2013-08-24 11:26
修复时间：2013-10-08 11:26
公开时间：2013-10-08 11:26
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-24： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-10-08： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
验证设计存在逻辑问题，验证通过的key对没有时间限制。一次正常通过的key对可以无限次通过验证，验证码形同虚设
详细说明：
上述代码为印象码提供的sdk，可以看到其网站主后台判断用户是否通过验证是通过一个简单的md5计算后的比较进行的，没有设计时间问题，所以，任何时候，可以通过的key对都可以通过。其没有考虑验证过期的问题
漏洞证明：
通过这段代码对其官方提供的php版本demo进行测试，发现上午说明成立。
或者，通过浏览器测试，假如一次通过，后面刷新该页面都可以通过。
修复方案：
方式一：
加入时间戳
缺点：网站主服务器时间错误将无法通过验证
方式二：
网站主拿到前台传回的信息后去印象码服务器验证，如果通过，印象码服务器将次key对的状态标记为过期。
缺点：对服务器实时性要求高
版权声明：转载请注明来源 lemon@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝