网络安全技术 ·

某数据监测与分析系统可被撞库出登录密码


文章来源:EDI安全

01

漏洞标题

数据监测与分析系统可被撞库出登录密码

02

漏洞类型

逻辑漏洞

03

漏洞等级

中危

04

漏洞地址

http://xx.xx.xx.xx:8000/User/UpdatePWD

05

漏洞详情

0x01

登录页面没有验证码,存在可被撞库的风险http://xx.xx.xx.xx:8000http://xx.xx.xx.xx:8003

然后随便在输入框输入admin  admin

或者是直接访问链接:http://xx.xx.xx.xx:8000/admin/?/login

会跳转到系统中

此时可以判断系统管理员账户为admin

0x02

然后抓包,点击下面的修改密码功能,可以抓包:

输入密码,进行密码修改操作,抓包:

http://xx.xx.xx.xx:8000/User/UpdatePWD

POST数据:pwd=123456&pwd1=123456&pwd2=123456

这里可以枚举原密码,没有次数和上限限制,因为是线上环境,而且一旦爆破成功就是修改了系统密码,所以这里没有做更多的爆破操作。请自行验证。

0x03

同样的,知道了这里的账户为admin,则登录处也同样的可以进行爆破:

06

漏洞危害

1、 可以枚举登录处admin账户的密码,可以直接登录系统。

2、 可有通过修改密码操作直接修改管理员admin账户的密码,这样管理员也登录不上了。

07

建议措施

1、 添加验证码,在登录处添加验证码,限制用户的登录上限。

2、 做好权限的控制,不允许不登录的用户直接访问系统内部功能。

PS:本文仅用于技术讨论与分析,严禁用于任何非法用途,违者后果自负

参与评论