记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

中国人寿官网不需任何校验通过身份证号可以修改任何一个人的密码

2015-12-13 09:10

在中国人寿找回密码页面,当填写完身份证号码时,后台会返回geUserPersnal.userID的值,在js中的最后一步,修改密码方法doSubmitUpdatePwd()中,只有两个参数,分别是userId和pwd。并且密码是用base64加密的,呵呵,这么加密太小儿科了吧也。这两个参数我现在都有了,可以绕过之前的各种校验,直接执行这个ajax,好了,密码修改成功。

如果有攻击者,通过身份证号不停地执行此方法,贵公司的信息将全部泄漏,并且真正用户将无法登陆系统。



1、输入身份证号码,可以看到,userID返回了

clipboard.png





2、通过页面中的这段ajax,可以看到密码通过了base64加密,并且只有两个参数。

clipboard2.png





3、通过直接只执行这个ajax,并且将两个参数附上值,将密码改为123456,可以看到,方法返回成功。

clipboard3.png





4、通过最新修改的密码,成功登陆中国人寿官网。

QQ截图20151207172111.jpg



漏洞证明:

同上,你们的工程师能看懂,赶紧修复了吧~~~~

修复方案:

竟然还把注释写的那么明白,每一个步骤的注释都写的那么细,是怕攻击人员看不懂你们是啥逻辑么?!


知识来源: www.wooyun.org/bugs/wooyun-2015-0159092

阅读:166019 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“中国人寿官网不需任何校验通过身份证号可以修改任何一个人的密码”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

ADS

标签云