漏洞详情

披露状态:

2014-09-28: 细节已通知厂商并且等待厂商处理中
2014-09-29: 厂商已经确认,细节仅向厂商公开
2014-10-09: 细节向核心白帽子及相关领域专家公开
2014-10-19: 细节向普通白帽子公开
2014-10-29: 细节向实习白帽子公开
2014-11-12: 细节向公众公开

简要描述:

这种设计....简直

详细说明:

edu.189.cn 中国电信教育云 数字教育资源公共服务平台
应用产品有:教育云,人人通,班班通,翼校通,天翼翼校通,天翼家校通,家校互动平台,家校互动门户,家校沟通平台,家校微博

q1.jpg

q2.jpg

官方统计就有1061589教师,用户还不止,因为还有家长跟学生没统计..

漏洞证明:

先说3处设计小缺陷
1.找回密码验证身份处直接显示用户完整手机号..

q5.jpg


2.虽然提示很抱歉,暂时只支持电信手机号,但是我的联通号还是收到了短信验证,且发送验证没有上限,该接口可以无限短信轰炸,手动测试一下就收到了几十条短信

q6.jpg

q7.jpg


3.可以无验证直接绑定任意手机号作为已验证手机

q12.jpg


-----------------------------------------------------------------------------
任意密码重置:
http://edu.189.cn/portal/passwordReset/toStep3ByMobile.do?userDto.userId=34188867
修改用户密码是通过这个GET请求更新的,可直接访问,没有任何验证,而从我自己注册的帐号的userDto.userId值看
用户量更达到了三千多万,确实有点可怕..

q8.jpg


然后是获取用户对应的userDto.userId
在我们填写账户名,找回密码处,Response响应返回了对应的userDto.userId
例:

q9.jpg

q10.jpg


-----------------------------------------------------------------------------
实际演示,提供一个自己注册帐号仅供测试

wooyun2:123456 密保手机18688888888

a1.jpg

获取到userDto.userId为34189287

a2.jpg

构造url:http://edu.189.cn/portal/passwordReset/toStep3ByMobile.do?userDto.userId=34189287

a3.jpg

a4.jpg

成功重置!

修复方案:

http://edu.189.cn/portal/passwordReset/toStep3ByMobile.do?userDto.userId=

标签: none

评论已关闭