最新消息:

优酷网某后台验证码绕过

别人渗透网站学习 admin 1090浏览 0评论

转自:http://wooyun.org/bugs/wooyun-2014-084180

简要描述:

优酷网某后台验证码绕过,破解弱口令两枚。
这个漏洞我8月份已经提到360库带了,他们给了报酬的。
我是在破解出新的账号后,才昧着良心再提交到wooyun。
希望360库带的小伙伴见谅,再次道个歉。 :)

详细说明:

优酷土豆第三方素材替换平台:

http://211.151.146.175:8080/login.do

存在逻辑缺陷,导致被攻击者轻易攻破。
1. 验证码可绕过
这是很多公司外网暴露的系统存在的通病,看起来有验证码,实际多数都可绕过、可逆向、可识别。
此站点,固定Cookie中JSESSIONID和参数code的值,即可进行暴力破解。
2. 提示信息过详细
不存在的用户和存在的用户,提示不一样,攻击者轻易猜解出哪些用户是存在的。(指数级减小了破解尝试次数)
此处存在的用户,提示“用户名或密码错误,请重新输入”
不存在的用户,则提示“您没有该系统权限,请联系管理员!”
挂个小字典,很快即可小范围锁定用户名列表,我跑出来少量用户:

admin 
jintuo
tudou
youku
zhousu

利用密码字典再跑一遍,命中用户:

tudou,密码tudou123456
youku, 密码youku888

漏洞证明:

21205350d6a004f3ce0da1add3760ac3b2ea6820

 

修复方案:

一点建议:
1. 验证码使用一次,立即过期
2. 强化用户密码
3. 条件允许,对敏感系统做二次验证

ps:平常虽然尝试爆破过一些后台,不过都没有成功过。后台爆破也是一种渗透思路,以后要重视下。后台爆破最重要的是口令字典的完备性,所以要在平常注意积累,否则等到用时才发现字典这么弱一个也没有爆破出来。

常用的管理员用户名主要有:

admin
root
user
administrator
super
console
guanli
control

当然不限于这些,在实际使用时要根据具体网站收集到的信息来进行完善。更多用户名字典可以查看:http://zone.wooyun.org/content/16508。

转载请注明:jinglingshu的博客 » 优酷网某后台验证码绕过

发表我的评论
取消评论

表情

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址