中国万网任意账号劫持+验证码漏洞 - 网站安全

1.验证码无效 漏洞 导致爆破任意账号名或手机号

2.弱验证码导致爆破手机号的密码找回验证

3.缺失的身份认证导致绑定别人的账号到自己的手机

乌云和80sec在新年被劫持，我想大家也都知道。乌云域名是在万网注册的，现在我就以劫持乌云为测试案例描述一下万网存在的一些安全风险。  

过程描述：

 

首先可以看到万网对用户的绑定手机号是有提示的。

在找回密码模块有一个1.验证码无效漏洞-->爆破任意账号名或手机号

以爆破手机号为例子：

 

 

如果跑出来的话，万网会给用户的手机发一个验证码，而这个验证码却只是一个4位的数字。

2.弱验证码-->爆破手机号的密码找回验证

 

 

截住，然后爆破这个验证码

 

 

这样一来就可以重置任何万网账号的登录密码了。

 

后来，我找到了一种更加简洁的办法，一步搞定。

3.缺失的身份认证-->绑定别人的账号到自己的手机 

进入 

，然后截包。

 

 

userID写成你要劫持的账号的ID,手机号当然写成你自己的了。至于如何知道ID，前面已经有提（你也可以去社工）。

 

然后你就懂了。

 

说一句腾讯、黑基等也是在万网注册的。

 

查看更多关于中国万网任意账号劫持+验证码漏洞 - 网站安全的详细内容...