关注我们
QRcode 邮件联系 新浪微博
首页 > web安全 » 正文

任意用户密码重置(六):应答中存在影响后续逻辑的状态参数

     条点评
后台-系统设置-扩展变量-手机广告位-内容正文顶部

*本文作者:yangyangwithgnu,本文属 FreeBuf 原创奖励计划,未经许可禁止转载。

在逻辑漏洞中,任意用户密码重置最为常见,可能出现在新用户注册页面,也可能是用户登录后重置密码的页面,或者用户忘记密码时的密码找回页面,其中,密码找回功能是重灾区。我把日常渗透过程中遇到的案例作了漏洞成因分析,这次,关注因重置凭证可暴破导致的任意用户密码重置问题。

想了解前五篇任意用户密码重置内容,可查看以下传送门:

任意用户密码重置(一):重置凭证泄漏

任意用户密码重置(二):重置凭证接收端可篡改

任意用户密码重置(三):用户混淆

任意用户密码重置(四):重置凭证未校验

任意用户密码重置(五):重置凭证可暴破

密码找回流程一般包括获取短信验证码、校验短信验证码是否有效、设置新密码等三个步骤。在第二步,校验短信验证码是否有效的结果应保存在服务端,某些网站未在服务端保存而是错误地将结果状态值下发客户端,后续又依靠前端 js 判断是否可以进入第三步,那么,更改应答包中的状态值,可重置其他用户的密码。

案例一

在密码找回页面 http://www.xx.cn/yy/action/forgot 用攻击者手机号 13908081024 进入密码找回全流程,获取短信验证码 033128、输入图片验证码、输入短信验证码并提交:

服务端校验通过后,系统应答如下:

简单分析发现,校验通过时服务端并未向客户端 set-cookie,猜测服务端并未记录校验状态,是否进入设置新密码页面完全是由前端 js 基于应答状态决定的,那么,即便我没有短信验证码,通过将服务端下发给客户端的校验状态从“失败”改为“成功”,也能成功重置找回账号密码。

具体而言,以信息搜集时找到的客服手机号 13980808888 为例。输入手机号、获取短信验证码、输入图片验证码、输入错误的短信验证码 123123 后提交:

由于短信验证码错误,系统校验肯定失败,系统应答如下:

拦截该应答,用前面抓取校验成功的应答包替换之:

放行至客户端,顺利进入新密码设置页面:

输入新密码 PenTest1024 后提交,页面提示密码修改成功:

尝试用 13980808888/PenTest1024 登录,验证成功:

案例二

在密码找回页面 http://www.xx.cn/yy/forgot 用攻击者手机号 13908081024 进入密码找回全流程,获取短信验证码 2118、输入短信验证码并提交:

服务端校验通过后,系统应答如下:

简单分析发现,校验通过时服务端并未向客户端 set-cookie,将服务端下发给客户端的校验状态 code 改为“0000”,可以重置其他用户密码。

具体而言,以土豪手机号 13888888888 为例。输入手机号、获取短信验证码、输入错误的短信验证码 1234 后提交。由于短信验证码错误,服务端校验失败,应答如下:

拦截该应答,用前面抓取校验成功的应答包替换之后,放行至客户端,顺利进入新密码设置页面:

输入新密码 PenTest1024 后提交,页面提示密码修改成功。尝试用 13888888888/PenTest1024 登录,验证成功:

加固措施

服务端校验短信验证码后应通过 cookie 记录状态,不应在前端通过状态参数判断。另外,服务端应限制枚举等恶意请求。

*本文作者:yangyangwithgnu,本文属 FreeBuf 原创奖励计划,未经许可禁止转载。

后台-系统设置-扩展变量-手机广告位-内容正文底部
本文标签:
新型攻击手法:利用XSS绕过WAF进行SQL注入
返回列表
  新型攻击手法:利用XSS绕过WAF进行SQL注入 新型攻击手法:利用XSS绕过WAF进行SQL注入  看我如何挖掘到WordPress漏洞并最终拿下$1337的赏金 看我如何挖掘到WordPress漏洞并最终拿下$  一名代码审计新手的实战经历与感悟 一名代码审计新手的实战经历与感悟  传奇外挂携带恶意病毒Strkon,劫持用户主页及流量 传奇外挂携带恶意病毒Strkon,劫持用户主页  密室内的枪声!“双枪2”木马感染过程实录 密室内的枪声!“双枪2”木马感染过程实录  攻击者正在利用PHP Weathermap漏洞向Linux服务器传播恶意挖矿软件 攻击者正在利用PHP Weathermap漏洞向Linu  黑客利用GitHub将恶意软件推送至用户电脑以盗取凭据 黑客利用GitHub将恶意软件推送至用户电脑  RPO攻击方式的探究 RPO攻击方式的探究

已有条评论,欢迎点评!