当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-043061

漏洞标题：糗事百科另类方式重置用户密码

相关厂商：糗事百科

漏洞作者： px1624

提交时间：2013-11-17 14:49

修复时间：2013-11-22 14:49

公开时间：2013-11-22 14:49

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-11-17： 细节已通知厂商并且等待厂商处理中
2013-11-22： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

安全问题都是息息相关的，有时候你认为的一些鸡助无用的小漏洞（甚至不愿意承认那是漏洞），但是在一定情况下组合利用起来，就有可能成为很严重的漏洞额！
这种另类的重置密码漏洞，估计有不少厂商都存在，希望厂商都能对安全这个整体引起重视吧。

详细说明：

糗事百科貌似一直对CSRF漏洞不太重视，这里我其实就是利用了邮箱绑定位置存在CSRF漏洞，在加上密码找回流程逻辑判断不严格，从而成功重置用户密码的。
顺便友情提供：邮箱绑定的时候，还存在邮箱轰炸漏洞。
测试过程，用两个帐号两个浏览器分别登录进行测试。
1 大号去修改绑定的邮箱，抓包。

1.png


2 可以看到，是一个post的请求。

2.png


3 去掉refer，再次发送请求，发现可以仍然成功执行请求，接收到绑定邮箱的邮件。

3.png


4 说明这里存在POST类型的CSRF漏洞。
5 然后CSRF利用这里就不在详细说明了，不管是直接发url还是用img、iframe的src嵌入，都可以。
6 外部poc构造的利用代码（将邮箱写为自己的邮箱）。

<html><body>
<form name="px" method="post" action="http://www.qiushibaike.com/my/edit">
<input type="text" name="_method"	value="put">
<input type="text" name="user[avatar]" value="">
<input type="text" name="user[email]" value="[email protected]">
<input type="text" name="commit" value="提交">
</form>
<script>
document.px.submit();
</script>
</body></html>


下面切换为小号，模拟正常用户。
7 诱导用户中招CSRF后，会给自己的邮箱发送一封邮件，用于邮箱绑定。

4.png


8 点击确认修改按钮发现可以直接成功修改，未登录小号帐号状态下，就可以成功修改绑定邮箱。（这里逻辑验证有问题，应该首先判断用户是否为登录状态，如果不是登录状态则判断为修改失败）。

5.png


9 接下来就是用正常的密码找回流程去修改密码，填写好用户帐号和自己刚才修改好的自己的那个绑定邮箱。

6.png


10 点击找回密码，会给自己刚才修改的绑定邮箱发送一个找回链接。

7.png


11 然后去邮箱我们点击找回密码按钮。

7878.png



12 然后就会打开密码修改的页面了。

8.png


13 填写新密码，可以直接修改用户密码！

9.png


THAT'S ALL！THANKS

漏洞证明：

见上面详情。

修复方案：

修补措施：
1 修补邮箱绑定位置的CSRF漏洞。
2 修补邮箱绑定位置（是否为登录状态）的验证问题。

版权声明：转载请注明来源 px1624@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-11-22 14:49

厂商回复：

最新状态：

暂无