[web 安全]逻辑漏洞之密码重置

原文：http://wooyun.jozxing.cc/static/drops/web-5048.html

密码找回逻辑
一、用户凭证(密码找回的凭证太弱，暴力破解）
1、当当网任意用户密码修改漏洞（http://wooyun.jozxing.cc/static/bugs/wooyun-2012-011833.html）
四位数字验证码，暴力猜解。
2、微信任意用户密码修改漏洞（http://wooyun.jozxing.cc/static/bugs/wooyun-2012-011720.html）
数字验证码可暴力猜解，修改密码时对手机号的验证存在缺陷（验证请求次数手机号：18211111111y；验证验证码时手机号提纯18211111111）。

二、返回凭证（凭证存在url返回响应中）
1、走秀网秀团任意密码修改缺陷。（http://wooyun.jozxing.cc/static/bugs/wooyun-2012-05630.html）
url直接返回验证码。
2、天天网任意账户密码重置（二）。（http://wooyun.jozxing.cc/static/bugs/wooyun-2014-058210.html）
url返回加密验证码。

三、密码找回凭证在页面中
1、sohu邮箱任意用户密码重置。（http://wooyun.jozxing.cc/static/bugs/wooyun-2012-04728.html）
密保问题的答案在页面hide表单中。

四、返回短信验证码
1、新浪某站任意用户密码修改（验证码与取回逻辑设计不当）。（http://wooyun.jozxing.cc/static/bugs/wooyun-2014-085124.html）
返回加密的用户手机号，返回短信验证码。

五、邮箱弱token
1、奇虎360任意用户密码修改漏洞。（http://wooyun.jozxing.cc/static/bugs/wooyun-2012-08333.html）
重置密码的url中token是MD5(时间戳)，可暴力猜解。
2、中兴某网站任意用户密码重置漏洞（经典设计缺陷案例）。（http://wooyun.jozxing.cc/static/bugs/wooyun-2015-090226.html）
密码重置url是用户名和时间（时间+范围小的随机数）组合，可猜解。

六、服务器验证（不验证；可控）
1、身份通任意密码修改-泄漏大量公民信息。（http://wooyun.jozxing.cc/static/bugs/wooyun-2012-012572.html）
凭证无效，重置密码的url中的token不起作用，虽然有token，但可替换为他人email，达到修改别人密码的目的。
2、携程旅行网任意老板密码修改(庆在wooyun第100洞)。http://wooyun.jozxing.cc/static/bugs/wooyun-2013-018263.html
修改密码时，可替换为他人uid，从而修改他人密码。
3、某政企使用邮件系统疑似存在通用设计问题。（http://wooyun.jozxing.cc/static/bugs/wooyun-2014-088927.html）
更改请求包中参数，可跳过密保问题的验证，直接修改密码。

七、手机号、邮箱任意绑定
1、 网易邮箱可直接修改其他用户密码。（http://wooyun.jozxing.cc/static/bugs/wooyun-2012-08307.html）
手机号可绑定他人账号，然后通过手机号找回密码，从而修改他人密码。
2、中国工控网任意用户密码重置漏洞。（http://wooyun.jozxing.cc/static/bugs/wooyun-2014-086726.html）
邮箱可绑定他人账号。

八、注册覆盖
1、中铁快运奇葩方式重置任意用户密码(admin用户演示)。（http://wooyun.jozxing.cc/static/bugs/wooyun-2014-088708.html）
新用户名覆盖旧用户名，就用户的信息不变，变相修改密码。

九、session覆盖
1、WooYun: 聚美优品任意修改用户密码(非爆破)。（http://wooyun.jozxing.cc/static/bugs/wooyun-2014-085843.html）
点击自己邮箱中的密码找回链接，读取了浏览器中他人的账号信息（cookie）,从而修改他人密码。

十、注入
1、用友人力资源管理软件（e-HR）另一处SQL注入漏洞（通杀所有版本）。（http://wooyun.jozxing.cc/static/bugs/wooyun-2014-068060.html）
找回密码用户名处存在注入。

十一、找回步骤（跳过验证步骤、找回方式，直接到设置新密码页面。）
1、OPPO手机同步密码随意修改，短信通讯录随意查看。（http://wooyun.jozxing.cc/static/bugs/wooyun-2013-042404.html）
直接跳过身份认证，重设任意用户密码。
2、中国电信某IDC机房信息安全管理系统设计缺陷致使系统沦陷。（http://wooyun.jozxing.cc/static/bugs/wooyun-2015-098765.html）
数据包step改为4，直接跳过前面步骤进行重置密码。

十二、本地验证（在本地验证服务器的返回信息，确定是否执行重置密码，但是其返回信息是可控的内容，或者可以得到的内容）
1、看我如何重置乐峰网供应商管理系统任意用户密码（管理员已被重置）。（http://wooyun.jozxing.cc/static/bugs/wooyun-2014-083035.html）
2、oppo重置任意用户密码漏洞(4)。（http://wooyun.jozxing.cc/static/bugs/wooyun-2014-069987.html）