某应用市场安全商漏洞之任意用户密码秒改,批量修改几十万用户密码

漏洞概要

缺陷编号:WooYun-2015-0126168

漏洞标题:某应用市场安全商漏洞之任意用户密码秒改,批量修改几十万用户密码

相关厂商:nduoa.com

漏洞作者:黑暗游侠

提交时间:2015-07-11 19:43

公开时间:2015-07-16 19:44

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2015-07-11: 细节已通知厂商并且等待厂商处理中
2015-07-11: 厂商已查看当前漏洞内容,细节仅向厂商公开
2015-07-16: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

某应用市场安全商漏洞之任意用户密码秒改,批量修改几十万用户密码

详细说明:

N多网([三月平均]:日均 PVPV90000,日下载量15000),由于网站漏洞危害巨大,涉及几十万个APP应用,58万会员信息,所以暂时把问题厂商写成“某应用市场”,希望乌云管理员见谅,等厂商认领以后再改成N多网,谢谢!1. http://www.nduoa.com/ N多网,国内最先致力于Android开发与应用的先行者,成功创办国内最大的Android用户社区,并有志于成为中国最优秀的移动互联网综合服务提供商之一。

漏洞证明:

首页注册账号---退出----忘记密码-----填写账号和邮箱-----邮箱收到找回密码邮件

最逗的是,这个链接是有时间范围的,大概几个小时吧

抓包修改username即可重置任意账户的密码

然后继续访问该链接,继续重置其他的,很方便,直接burp发包fuzzing,方便快捷,所有账户密码可在10分钟内全部修改完成

修复方案:

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-07-1619:44

厂商回复:

漏洞Rank:15 (WooYun评价)

最新状态:

暂无

评价

  1. 2010-01-01 00:00 鬼见愁 白帽子 | Rank:10 漏洞数:1)

    找回密码,邮箱连接。然后修改元素用户名。修改成功。

  2. 2010-01-01 00:00 zeracker 白帽子 | Rank:1028 漏洞数:134)

    最安全的安卓游戏、安卓软件下载站 我也是醉了

  3. 2010-01-01 00:00 黑暗游侠 白帽子 | Rank:1058 漏洞数:93)

    @鬼见愁 恩,并且没有做token和设置expire,导致可以在1小时内无限制fuzzing修改全站用户密码

  4. 2010-01-01 00:00 黑暗游侠 白帽子 | Rank:1058 漏洞数:93)

    @zeracker 就像补天还自称全球最大的漏洞平台呢,不能信。

  5. 2010-01-01 00:00 Format_smile 白帽子 | Rank:135 漏洞数:13)

    楼主我遇到一群小学生怎么办??非要说剑心是首歌??

  6. 2010-01-01 00:00 天地不仁 以万物为刍狗 白帽子 | Rank:467 漏洞数:54)

    @黑暗游侠 某数字用一句俗语形容就是 树不要皮必死无疑 ·····你懂得

  7. 2010-01-01 00:00 黑暗游侠 白帽子 | Rank:1058 漏洞数:93)

    @天地不仁 以万物为刍狗 恩呢,赞同

  8. 2010-01-01 00:00 黑暗游侠 白帽子 | Rank:1058 漏洞数:93)

    @Format_smile 不是女优么?

  9. 2010-01-01 00:00 神话 白帽子 | Rank:0 漏洞数:0)

    真是…吊爆了