漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0120422
漏洞标题：p2p之爱投资某严重逻辑缺陷影响官网任意用户
相关厂商：爱投资
漏洞作者： BMa
提交时间：2015-06-14 17:02
修复时间：2015-07-30 00:20
公开时间：2015-07-30 00:20
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-14： 细节已通知厂商并且等待厂商处理中
2015-06-15： 厂商已经确认，细节仅向厂商公开
2015-06-25： 细节向核心白帽子及相关领域专家公开
2015-07-05： 细节向普通白帽子公开
2015-07-15： 细节向实习白帽子公开
2015-07-30： 细节向公众公开
简要描述：
p2p之爱投资某严重逻辑缺陷影响官网任意用户
说简单点就是官网任意密码重置，希望官方能重视
看到漏洞的亲们也来一起挖挖，逻辑很有意思...
详细说明：
https://www.itouzi.com
这里以以前的漏洞的一个手机号码来演示 18888888888 够随机吧
首先需要在同一浏览器中打开两个找回密码的链接，A中输入自己控制的手机号，B中输入需要重置的受害者的手机号
这里手机号可以通过注册、找回、以及后台的很多接口遍历，得到绑定了的手机号码，所以厂商千万不要说不能得到用户的手机号码 那样我会很伤心的
手机号就不打码了，反正是小号
先让自己控制的手机号A接收短信，然后再让受害者B的手机号接收短信
此时我们已经得到了A的短信验证码，然后在受害者B的窗口输入A的验证码<说明一下，必须要这样，如果在不同浏览器会提示短信验证码不一致，验证了短信验证码与会话>
后面步骤就输入密码ok
成功
登录：账号：18888888888 密码：bma123456789
漏洞证明：
修复方案：
版权声明：转载请注明来源 BMa@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2015-06-15 00:19
厂商回复：
非常感谢您指出漏洞！ 此漏洞只会影响未实名认证过的用户（用户一旦实名认证，第二步会强制输入身份证号码），这些用户未投过资，因此并不会影响用户资金安全。但我们仍然非常重视此漏洞，已提交开发部门，会第一时间修复并上线。感谢！
最新状态：
暂无