云来重置任意用户密码

云来专注于移动互联网，是中国最大的移动APP云服务提供商，产品及业务范畴主要包括云来轻APP、云来移动APP、移动APP云服务、移动APP云平台等。通过符合移动互联网用户思维习惯的产品设计和极致的用户体验，为企业提供基于云端智能技术的低成本的行业商业移动化解决方案，为企业打造最具信任力的移动互联网精准营销服务。

   

电子商务网站：http://www.liveapp.cn/

   

最近比较火的场景应用，轻app大都出自于云来之手，其产品被应用于各大互联网产商。

0x001.

在其找回密码页面，输入找回邮箱时会通过ajax自动验证是否存在该邮箱，

然后点击提交。

邮箱收到重置密码邮件

   

0x002.

由此可知：

一、有效期为2个小时。二、重置页面字符串：

MTI1MjcxJTNGYWN0JTNEZmluZCUyNmVtYWlsX3RtJTNEMTQzMjA5NTE4NA==

拿去base64解码下：

125271%3Fact%3Dfind%26email_tm%3D1432095184

   

由2部分组成，125271 是用户ID号，也就是数据库的自增id号。后面的1432095184 是UNIX时间戳。

   

Unix时间戳我们很容易就能弄到，而用户id才6位数，岂不是很容易爆破出来。

   

POC：

先来获得unix时间戳准备2个页面，（由于他官网要避免缓存当你进入

My.liveapp.cn时候会location 到

   

http://my.liveapp.cn/admin/user/login?from=%2F&t_=1432179156

后面就是unix时间戳）

当点击提交后，马上在另外一个页面进入他网站，多次测试发现相隔1秒，于是我们拿到进入网站的unix时间戳减去1就得到了我们要的时间戳 1432179308也就是1432179307

   

接下来就是生成字典了。这里我写了个php页面来生成。。。替换掉unix时间戳，

（那个143270是我新注册一个号，找回密码得到的最大值）

拿到字典之后我用txt文本分割器分割了30份。

写了个bat进行暴力测试。

如果测试成功，会在目录下生成 r*.txt 结果页面

没多久就爆出来了

生成r0027.txt打开去访问下。

直接到重置密码页面

安全盒子原创文章：转载请注明安全盒子SecBox.c