360任意用户密码修改（危急360手机卫士、360云盘、360浏览器云同步，可泄露、短信、通话记录等）

奇虎360

漏洞作者

JiuShao

提交时间

2013-11-26 17:00

公开时间

2014-01-10 17:00

漏洞类型

设计缺陷/逻辑错误

危害等级

自评Rank

漏洞状态

厂商已经确认

Tags标签

安全意识不足,认证设计不合理,平行权限,逻辑错误

本小学生记性不好360云盘安全密码360云盘安全密码，360账号的密码很及时的忘记了。

于是有了如下情节。

找回账号密码， 然后发了一篇邮件到我邮箱。

?vc=e%2FwljiqD9WGv%2FwDyS93BghveGh%2FDYG4oMjJwcxGlcnSDZP3qIW4deYwnCpkdbCSZ3ByODXHZYDCx32A46l%2FBXxk6qo5oABIr6ZrywAoPB8DZuX81j%2Bb%2F2w%3D%3D&qid=507290669

这是修改密码的连接地址 有没有发现亮点？

qid=507290669 qid如果被修改别人的是否会有用呢

然后修改为

http://i.360.cn/findpwd/setpwdfromemail?vc=e%2FwljiqD9WGv%2FwDyS93BghveGh%2FDYG4oMjJwcxGlcnSDZP3qIW4deYwnCpkdbCSZ3ByODXHZYDCx32A46l%2FBXxk6qo5oABIr6ZrywAoPB8DZuX81j%2Bb%2F2w%3D%3D&qid=507290670

然后360网站提示可以修改 哦的天啊

那这样的话不是所有的账号都可以改了 为什么会鸡肋呢？

问题是不知道别人的账号啊 进去个人中心也没有这个id提示

别着急 我们继续挖

发现360旗下的一个网站：

http://www.woxihuan.com/star/timeline?qid=268296138

是不是发现了什么? 没错 qid=268296138

这个qid 我们找的是明星苗圃的

然后构造如下链接：

http://i.360.cn/findpwd/setpwdfromemail?vc=e%2FwljiqD9WGv%2FwDyS93BghveGh%2FDYG4oMjJwcxGlcnSDZP3qIW4deYwnCpkdbCSZ3ByODXHZYDCx32A46l%2FBXxk6qo5oABIr6ZrywAoPB8DZuX81j%2Bb%2F2w%3D%3D&qid=268296138

我们寄出神器 Burpsuite

在利用找回密码链接修改密码时 我们截取它post的包

而且这里还发现 我们在知道邮箱 不知道qid的情况下 也可以修改密码：

首先用自己的账号获取一个360找回密码的url，然后在修改密码时截包

我们把这里的uname修改为要修改密码的目标的邮箱

目标邮箱：[email protected]

可以修改指定邮箱的密码

苗圃老师的【我喜欢】

苗圃老师的【360云盘】

手机防盗：

360个人中心：

360浏览器收藏夹

还是手机防盗：

：

登录之后 恢复

你比我更懂的。 求礼物。求公仔。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/ruanjian/article-108941-1.html