漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-098688
漏洞标题：疯点大学生交友网奇葩设计可导致网站及其app任意用户密码重置(妹子个人帐号任意登录)
相关厂商：疯点
漏洞作者： 加菲不一定是猫
提交时间：2015-02-28 10:11
修复时间：2015-04-14 10:12
公开时间：2015-04-14 10:12
漏洞类型：网络设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-02-28： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-04-14： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
某社交网及其app奇葩设计，导致任意用户密码重置，可登录任意妹子的帐号，查看其聊天记录和隐私！！！！！！！！并修改其密码！！！！
详细说明：
首先打开疯点官网：http://www.aaisme.com，点首页的登录处的找回密码。这里以admin为例。
尼玛填写用户名后居然直接给出重置密码的临时密码！！！！！！
接下来果断用这个临时密码进行登录，成功~
之后利用临时密码也可以修改用户的密码
当然了，其他的帐号也能用找回密码的功能直接找回，无任何限制。
更关键的是app都能用以上帐号密码登录。。。。。用管理员身份直接和妹子搭讪。。。当然了，也可以按照上面的方重置任意帐号的密码，例如妹子或者高富帅的帐号。。。
app中，管理员的个人资料。。尼玛这么多积分。。据说还能兑换奖品哦~~ 。。在此小弟求奖品一份哦！o(∩_∩)o 哈哈
漏洞证明：
网站安全存在设计缺陷、、、
修复方案：
这么简单，你懂的。。。求礼物~
版权声明：转载请注明来源 加菲不一定是猫@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝