漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0114895
漏洞标题：浙江省人民政府网某重要系统任意账号密码重置
相关厂商：浙江省人民政府
漏洞作者： Looke
提交时间：2015-05-19 14:18
修复时间：2015-07-07 15:50
公开时间：2015-07-07 15:50
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-19： 细节已通知厂商并且等待厂商处理中
2015-05-23： 厂商已经确认，细节仅向厂商公开
2015-06-02： 细节向核心白帽子及相关领域专家公开
2015-06-12： 细节向普通白帽子公开
2015-06-22： 细节向实习白帽子公开
2015-07-07： 细节向公众公开
简要描述：
浙江省人民政府官网某重要子网任意账号密码重置
详细说明：
浙江政务服务网是集行政审批、便民服务、政务公开、互动交流、效能监察等功能于一体，省市县统一架构、多级联动的网上政务服务平台，被形象地喻为“政务淘宝”、“云计算政务超市”。
问题出现在政务服务网统一认证中心：http://puser.zjzwfw.gov.cn/sso/usp.do?action=ssoLogin&servicecode=njdh
由于系统可以自动提示输入手机号是否注册，注册账号是浙江省手机号段，我们可以写个脚本批量获取已经注册的手机号。
得到手机号以后，如果注册时无实名验证身份，就是无条件重置密码。若有实名验证，则需知道手机号主人的身份证号码，在这个手机实名制和大数据时时代，特别是公司人员，有手机号得到身份证号是不难的。
我在网上找了某公司注册了的手机号码，以该号码为例，重置密码过程如下：
1、在找回密码外，输入如上账号，发送短信码，由于短信验证码是5位的，且未对短信尝试次数作限制，暴力猜解可以破解出来。
2、输入暴出来的验证码，验证大数据找到的身份证号码，成功到修改密码界面，修改成
功！
漏洞证明：
我用了两个手机号作示例：
重置密码都是admin123
13538817842|admin123
13712325717|admin123
修复方案：
1、设置验证码有有效期
2、限制验证码最大尝试次数。
版权声明：转载请注明来源 Looke@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：7
确认时间：2015-05-23 15:49
厂商回复：
CNVD确认并复现所述情况，已经转由CNCERT下发给浙江分中心，由其后续协调网站管理单位处置。
最新状态：
暂无