漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-037829
漏洞标题：爱周游任意用户密码重置及 XSS漏洞
相关厂商：aizhouyou.com
漏洞作者： px1624
提交时间：2013-09-24 15:41
修复时间：2013-09-29 15:42
公开时间：2013-09-29 15:42
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-09-24： 细节已通知厂商并且等待厂商处理中
2013-09-29： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
看到群里有人发了个地址，可以红米抽奖，就去看了看，习惯性的试了试，诶诶，貌似漏洞一大堆额。在乌云看了下，貌似厂商还没有入驻，所以就发个密码重置吧，XSS是随手附带送的。求红米手机！
详细说明：
一、 密码重置漏洞。
漏洞原因：手机找回密码的时候，验证码只有四位纯数字，而且输入验证码提交的时候，没有输入错误的次数限制。下面是漏洞演示和复现：
1 找回密码，选择手机找回，如图，点击获取验证码后，验证码位置随便写四个数字，密码写成自己想要改的密码。
2 用burpsuite抓包，然后选择4位纯数字对验证码位置的爆破。4位纯数字，1w种情况，普通配置的电脑和网速，2分钟就可以跑出来。
3 如上图，跑出来正确的验证码，就已经成功重置用户密码了。
二、 XSS漏洞。
网站的漏洞还很多，我就随便顺手捎带了一个xss。看下图，搜索的内容在js注释中输出了。
漏洞证明：
看上面。
修复方案：
1 入驻乌云。
2 送个红米手机。
3 密码重置的可以增加验证码为6位的数字字母组合方式即可。xss的那些还需要你们慢慢去检查过滤了，我只发了个冰山一角。
版权声明：转载请注明来源 px1624@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-09-29 15:42
厂商回复：
最新状态：
2013-09-29：感谢对爱周游安全的关注。