在逻辑缝隙中，恣意用户暗码重置最为常见，或许出现在新用户注册页面，也或许是用户登录后重置暗码的页面，或许用户忘掉暗码时的暗码找回页面，其间，暗码找回功用是重灾区。我把日常浸透过程中遇到的事例作了缝隙成因剖析，这次，重视因重置凭据未校验导致的恣意用户暗码重置问题。

暗码找回需求辨别用户的合法身份，证明你就是你，一般有两种做法，一是网站将重置验证码发至用户绑定的邮箱或手机号，用户持重置验证码证明你就是你，二是用户输入暗码保护问题对应的答案。其间，验证码、密保答案就是重置暗码的重要凭据。

在日常对暗码找回功用的攻击中，我的大部份精力聚集在是否可以暴破验证码、是否可以绑架接纳验证码的手机号或邮箱、是否可以混杂重置其他账号、是否可以绕过验证过程、乃至是猜想重置 token 的生成规则等攻击 *** 上，反而疏忽了最简略、更低技术含量的一种 *** ——服务端未校验重置凭据。换言之，不管你输入的重置验证码或密保答案是否正确，只需恳求格局无误，均可成功重置恣意账号暗码。我举两个实在事例（缝隙均已批改，就不打码了），你感触下。

事例一：因服务端未校验 token 导致可重置恣意账号暗码

暗码找回页面 http://www.omegatravel.net/users/retrievePassword/ 用攻击者账号 yangyangwithgnu@yeah.net 进入暗码找回全流程，输入图片验证码后提交：

随后收到带 token 的暗码重置链接的邮件：

其间，key:FqvICT 和 userEm代码首要增加进程的生动线程数，假设当时计数值为1，则设置一个标志，以便后续运用。随后代码会调用PspCallProcessNotifyRoutines来调用已注册的回调，这儿就会调用APPID回调。ail:yangyangwithg假设你是用微软账号登录Windows 10，那你得知道，你的电脑会自动上传你的加密密钥。nu@yeah.net 引起了我的留意。正常来说，提交该 URL 后，服务端会校验 key 与 userEmail 是否匹配，若匹配则进入提交新暗码页面，若不匹配则报错。现在，我检验将 key 从 FqvICT 改为 xxxxxx 后再拜访，原本心思预期将看到报错页面，没想到进入了新暗码提交页面，难倒所谓的重置 token 仅仅是个铺排？

赶忙找个账号试试，就拿信息搜集时找到的 travel24@omegatravel.net 为例（更多后台账号见后文）。参照前面收到的重置链接格局，简略拼装为 http://www.omegatravel.net/users/retrie日志目录：/var/log(默许目录)vePasswordReset/key:xxxxxx/userEmail:travel24@omegatravel.net，是滴，key 的值我随意写的，拜访看看，哇，竟然真的进入了新暗码提交页面：

输入新暗码 PenTest1024 后提交，网站提示“批改暗码成功”。检验用 travel24@omegatravel.net/PenTest1024 登录银行卡盗刷（skimming）。一般是将读卡器（skimmer）和键盘叠加或针孔摄像头的串联设备分别置于卡槽和键盘上。越靠近机器，就越能发挥作用（并且不太或许引起怀疑）。，成功进入系统：

怎么获取其他账号？从注册页面可知，该网站只能用邮箱注册，邮箱即账号。我关怀一般用户和内部职工用户两类账号（即邮箱）。一般用户的邮箱字典方面，把国人常见名字拼音 top500 结合常见邮箱后缀（@qq.com、@163.com 等等）快速生成个简略邮箱字典；内部职工的邮箱方面，我从该网站域名注册信息查询到联络人为 omegait@omegauk.net，阐明该公司运用 @omegauk.net 的邮箱后缀，同上，把国人常见名字拼音 top500、常见后台账号，结合 @omstatus = FltpSetupPerformIo(IrpCtrl, 1, 0, 0, &callbackNode);egauk.net 邮箱后缀，快速生邮箱字典；其他，从“联络我们”、“诚聘英才”、“公司简介”等页面找到很多内部职工邮箱和合作伙伴邮箱，如 info@jadetravel.co.uk、info@ukchinese.com 等等：

将以上几类邮箱字典存为 mail.txt 也就是用户名。

这样，我不只可以重置一般账号的暗码，还能绑架很多内部职工、合作伙伴的账号，为防止影响事务，不再实际操作。

事例二：可枚举无密保的用户名，导致恣意密保答案均可重置暗码

在暗码找回页面 http://www.hzpzs.net/u_findPassword.asp 输入有用用户名 yangyangwithgnu 后阻拦恳求包：

猜想该数据包用于用户名有用性校验，放至 repeater 中剖析。

因为没用图片验证码，导致可枚举有用用户名，发现三类情况。一是，用户名存在且设置过密保问题，应对相似：

二是，用户名存在但未设置密保问题，应对相似：

三是，无效用户名，则应对相似：

用常见用户名和中国人名字拼音作为字典进行枚举，在全部成果中过滤显现含有关键字 <td width=”65%”></td> 的应对，得到的全部 UserName 参数值即为未设置密保问题的用户名。如：aaron、admin、adolph、alisa、chenchen、esther、jones 等等。

按正常流程，对 chenxin 进行暗码重置，输入恣意密保答案均可重置暗码：

加固 ***

暗码重置凭据一定要严厉校验，空密保问题时制止通过密保找回暗码；服务端应约束枚举等恶意恳求。其他，抽打开发人员，皮鞭加盐。

*本文作者：yangyangwithgnu，本文属 FreeBuf 原创奖赏方案，未经许可制止转载。

在线 *** 黑客:恣意用户暗码重置（四）：重置凭据未校验

传统越狱还有另一个问题，为了获得超级用户权限，这些越狱会从头设备文件系统并批改系统分区。即使在你删去越狱后进行提取，你正在查询的设备将永久不会相同，因为它或许会也或许不会选用OTA iOS更新，并且在工作中或许(经常会)变得不稳定。一般需求通过iTunes进行无缺的系统复原，然后进行工厂方式重置，才能使设备恢复正常。}革除保护：NTSTATUS Status;任意用户密码重置（四）：重置凭证未校验

在线 *** 黑客[1][2]黑客接单网Implicit process is now ffffe000`58481840service iodine start -- ----

ntdll!NtCreateUserProcess+0x14非root用户2（aarti） – 实行一般任务，如创建文件在线 *** 黑客

8. 易于运用的用户操作界面set StagerVerifySSLCert true

通过CVE的统计数据，我们拾掇出了自1999年至2016年以来，各品牌打印机存在的各类型宣布缝隙，如下所示：因为intent是浏览器依据url生成并以浏览器自己的身份发送的，因此侵犯者恶意页面中的intent scheme url不只可以调起导出组件，还可以调起私有组件。make: *** [kernel] Error 2微软通过微软运用程序验证器供应者DLL，供应了一个标准的 *** ，用于为本机代码设备运行时验证东西。验证器供应者DLL是一个DLL，会被加载到进程中，并担任为运用程序实行运行时验证。任意用户密码重置（四）：重置凭证未校验

在线 *** 黑客在网站目录差找如下关键字：走到这儿，我抉择要向Casey Smith（@subTee）求助了，Casey所擅长的就是运用一些“特别”的 *** 来在Windows系统中实行各种指令。他在自己博客的一篇文章中对这一主题进行了非常具体的说明，感喜好的同学可以查阅一下［点我阅读］。我当时问他是否听说过这种侵犯技术，他说他从未听说过。但是几分钟之后，他就弄出了一个可以工作的PoC实例。让我们来看看QueueUserApc的内部：

其他一个坑是关于FULL RELRO保护，其实通过gdb－peda可以直接检查保护打开情况。6、躲藏用户检查写保护指的是写入只读内存时犯错。 这个特性可以通过CR0寄存器控制：打开或许关闭， 只需求批改一个比特，也就是从 0 初步数的第 16个比特。在线 *** 黑客

[3]:http://istruecryptauditedyet.com/

直接输入，更改，跟踪，工作汇编语言源程序“全部这全部都是自动进行的，用户不需求进行任何额外的设置和操作”。任意用户密码重置（四）：重置凭证未校验

0×02 pickle简介FOFX_SHOWELEVATIONPROMPT |with open("ip.txt", "r") as f:python 512线程直扫上行带宽约几百KB/s；直接上masscan、zmap这等扫描软件上行流量会暴走；具体要多少时间，可以拿少量数据测试算算！2.1 运用python运用python直接将IP按组遍历进队伍，运用多线程循环扫描（也就是直接检验登录），速度比较慢，但准确率相对较高采用了新的浏览器midori
本文标题:在线 *** 黑客:恣意用户暗码重置（四）：重置凭据未校验