当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0141783

漏洞标题：华住酒店集团某关键配置错误导致大量内部账号破解

相关厂商：汉庭酒店

漏洞作者： feng

提交时间：2015-09-17 17:04

修复时间：2015-11-02 09:36

公开时间：2015-11-02 09:36

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-09-17： 细节已通知厂商并且等待厂商处理中
2015-09-18： 厂商已经确认，细节仅向厂商公开
2015-09-28： 细节向核心白帽子及相关领域专家公开
2015-10-08： 细节向普通白帽子公开
2015-10-18： 细节向实习白帽子公开
2015-11-02： 细节向公众公开

简要描述：

哎 还是那句话，最近严重缺wb啊

详细说明：

问题简介：
华住酒店的mail系统防爆破机制缺陷，导致可以绕过防爆破机制进行爆破，得到大量内部账户，泄漏了海量的内部信息，继续挖掘的话没准能够内网漫游哦。不过我只是缺wb而已，如果授权可以继续搞搞。
1、先看一下邮箱系统，

huazhu0.jpg


我们都知道outlook是可以爆破的，一看这个界面加了验证码，顿时觉得高大上了。但是作为一个安全测试人员，还是要想办法看看这个机制是否健壮不是。
2、于是乎，右键-》查看源代码，发现其对应的js代码如下：

<script type="text/javascript"  src="jquery.cookie.js"></script>
    <script type="text/javascript">
        var bo = false;
        function showYZM() { if (bo) { $("#lookYZM").replaceWith("<img src='GetImg.aspx'   alt='点击切换验证码' title='点击切换验证码' style=' margin-top:2px; vertical-align:top;cursor:pointer;' onclick=\"this.src='GetImg.aspx?t='+Math.random()\"  />"); } }
        $(document).ready(function () {
            bo = false;
            $("#username").focus();
            $(".btn").before("<label id='spanMsg' style='color:red;padding-right:50px;'> </label>");
            $("#lookYZM").click(function () { bo = true; showYZM(); });
            $("#yzm").focus(function () { if ($("#lookYZM") != null) { bo = true; showYZM(); } });
            $(".btn").click(function () { var codeVaule = $("#yzm").val(); if (codeVaule == "") { $("#spanMsg").html("*验证码不能为空！"); return false; } else if (codeVaule.length != 6) { $("#spanMsg").html("*验证码位数不够！"); return false; } else { var yzmCode = $.cookie("yzmCode").toString(); if (yzmCode == codeVaule) { $("#spanMsg").html("*验证码正确，正在登录..."); return true; } else { $("#spanMsg").html("*验证码错误（区分大小写）！"); document.getElementById("yzm").focus(); return false; } } });
        });
    </script>


关键代码提出来：

var yzmCode = $.cookie("yzmCode").toString(); if (yzmCode == codeVaule) { $("#spanMsg").html("*验证码正确，正在登录..."); return true; } else { $("#spanMsg").html("*验证码错误（区分大小写）！");


我们看到，其验证码的内容是在cookie里面的yzmCode字段的，burp抓包也可以看到
HTTP/1.1 200 OK
Cache-Control: no-cache
Pragma: no-cache
Content-Type: image/Png
Expires: -1
X-OWA-Version: 14.3.210.2
Set-Cookie: yzmCode=9aAKTN; expires=Thu, 17-Sep-2015 07:29:18 GMT; path=/; secure
X-Powered-By: ASP.NET
Date: Thu, 17 Sep 2015 07:09:18 GMT
Content-Length: 1289
哎哟 不错哦，那么思路来了，直接写个脚本抓取返回的cookie中yzmCode字段，然后再提交不就直接绕过验证码了吗。
没错，不过看官你想多了，我们进行下一步的时候，发现客户端并没有提交验证码相关的字段，数据如下：
destination=https%3A%2F%2Fmail.huazhu.com%2Fowa%2F&flags=0&forcedownlevel=0&trusted=0&username=admin&password=fjdsl&isUtf8=1
纳尼，原来验证码只是在前端骗人的
3、好了，直接上burp intruder吧，配置好字典就开跑

漏洞证明：

1、看看弱口令有多少吧，只列出一部分来

huazhu_burp.jpg


2、由于我们说了不去分析内网信息，但是为了证明危害，我还是找到了一个比较特别的账号
那就是apple store的注册账号，有了它我们应该可以更改华住的app stroe上的app了

huazhu_apple.jpg


ps 我把appstore的邮箱密码修改为了huazhu@123

修复方案：

这个，能多给点rank吗 就缺wb啊

版权声明：转载请注明来源 feng@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2015-09-18 09:34

厂商回复：

已转交相关团队跟进，谢谢！

最新状态：

暂无