一些常见的重置密码漏洞分析整理

0x00 前言

一般的密码重置的设计都是分为以下四步的：

1.输入账户名
2.验证身份
3.重置密码
4.完成

通常漏洞是会存在于2或者3步骤中，下面来看看常见的一些重置密码漏洞的方式。

0x01 爆破类型

1 这种重置密码是最多见最容易出现的一类，那就是手机验证码爆破从而重置密码。

WooYun: 爱周游任意用户密码重置及 XSS漏洞

WooYun: 麦包包任意用户密码重置漏洞

WooYun: 换个姿势第三次重置拉手网任意用户密码

这这种设计一般是在找回密码的时候，会给指定的手机号发送一个用于验证身份的验证码，然后只要用户输入正确的验证码，就可以进行密码重置了。

这种设计产生重置密码漏洞的情况，一般是由于验证设计过于简单，而且对校验码的校验使用次数没有进行限制，导致正确的验证码可以被枚举爆破，从而重置密码。此方法也是最常见的重置密码的方式，因为大多数厂商最开始的设置都是采取的4-6位纯数字验证码的验证方式，而且是没有防止爆破的设计。

2 也是采取的爆破，方法和#1类似，不过就是手机验证码变成了邮箱中的验证码。

WooYun: 有利网也可以任意用户密码重置额~

WooYun: 驱动之家任意用户密码重置

WooYun: 咕咚网设计缺陷导致任意用户密码可重置

这这种设计一般是在找回密码的时候，会给指定邮箱发送一个用于校验的url链接，链接中一般会有一个参数就是用于验证身份的验证码，然后用户点击指定url就可以进入重置密码的页面从而去重置密码了。

这种设计产生重置密码漏洞的情况，也是由于重置密码链接中的验证码参数没有设计过于简单，可以被爆破，从而可以重置密码。

0x02 秒改类型

3 采取的方法是偷梁换柱，一般是那种会给指定邮箱发送url重置密码链接的那种。

WooYun: 麦包包任意用户密码重置漏洞（二）

WooYun: 经纬网可重置任意用户密码

WooYun: 飞马网系列之四任意用户密码重置漏洞（秒改非爆破）

这这种设计一般是在找回密码的时候，会给指定邮箱发送一个用于校验的url链接，链接中一般肯定会存在2个比较重要的参数，一个是用户名（或者uid、qq邮箱之类的能代表用户身份的参数），另一个就是一个加密的字符串（通过服务器端的某种算法生成的用来验证用户身份的参数）。然后用户在重置密码的时候，点击邮箱中的重置密码链接，就可以重置帐号密码了。

这种设计产生重置密码漏洞的情况，一般是由于重置密码链接中的表示用户名的参数和用于校验的加密字符串参数没有进行一一对应，导致可以被黑客偷梁换柱，从而重置密码。

也就是说，那个验证身份的加密字符串是万能的。

比如生成的重置密码url为：http://www.xx.com/xxoo.php?username=wooyun1&code=asdfghjkl 然后由于这里的参数code在服务器端验证的时候，只要其自身的算法满足服务器端的验证就直接通过了，不会去验证这个code是不是和wooyun1账户对应的。

从而，黑客可以直接利用url：http://www.xx.com/xxoo.php?username=wooyun2&code=asdfghjkl 重置帐号wooyun2的密码。

4 同样是偷梁换柱，这种一般是在最后一步设置新密码的时候，程序员往往会疏忽验证用户身份，从而被偷梁换柱，重置密码。这种一般是由于前面2步骤中已经验证了身份，然后3步骤重置密码的时候没有对用户身份进行持续性的验证导致的。

WooYun: like团任意用户密码重置（秒改）

WooYun: 科大讯飞某系统任意账号重置密码漏洞

WooYun: 某同志手机交友应用200W用户密码任意重置(可拐走别人男友)

5 有的时候虽然加密字符串的算法很复杂，但是在重置密码的过程中，要是程序员自己不小心将其泄漏了，那也可以被重置密码。这种属于程序员自己没有将开发调试时候的一些数据在正式上线前去掉导致的。

WooYun: 天天网任意账户密码重置（二）

WooYun: APP终结者11#大连万达电影任意用户账户登录

WooYun: 优酷网任意用户密码修改漏洞（验证可以秒改）