freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

威胁预警 | 约400家交易所存在高危漏洞
2019-01-17 08:00:50

*本文中涉及到的相关漏洞已报送厂商并得到修复,本文仅限技术研究与讨论,严禁用于非法用途,否则产生的一切后果自行承担。

257b6dc6-87cc-4670-97c2-8d31bba708f4.jpg

简介

近日区块链安全生态BUGX收取到来自平台白帽(Xenc@米斯特安全)提交的安全漏洞,随后平台进行分析与监控,该漏洞为交易所通用高危漏洞。此漏洞的成因是因为验证码没有和用户进行绑定,导致可以使用A用户的验证码来重置B用户的密码。

漏洞影响范围

图片1.png

漏洞详情

首先,该类网站存在任意注册漏洞。攻击者使用自己的手机号进行注册,接收到验证码后,接着使用Burpsuite拦截注册的包,然后修改其中的手机号码,便可注册成功,如下图所示:

图片2.png

需要注意,必须使用接收到的验证码,无效的验证码不能完成注册。紧接着就是任意重置用户密码。

现在我需要重置上面注册的18888888889,首先我是用该手机号进行“找回密码”操作,然后使用自己的账号进行“找回密码”操作,因为发送验证码后文本框不可以修改,所以就刷新再来,然后验证码填写自己接收到的,就可以重设18888888889账户的密码了,如下图所示:

图片3.png

漏洞影响

该漏洞因为没有将注册用户和验证码进行绑定,从而验证码被绕过,导致账号可以任意注册,对于任意重置密码,只有后来的验证码可以重置前面的所以我收到验证码,可以用来重置18888888889账户的密码,然而18888888889收到的验证码却不可以修改我的密码。

存在安全漏洞厂商

存在此类问题的交易所约400家,请自查。如需协助:

该漏洞导致用户的账户毫无隐私可言,账户密码形同虚设,当网站存在账号泄露的话,那么全部用户将沦陷。因漏洞影响范围太大,暂时不披露漏洞细节及存在漏洞的交易所,现BUGX开通查询及协助渠道:

1. 个人用户,需查询自己正在使用的交易所是否存在此类漏洞,请添加BUGX社群小助手微信号(Vitamin_101),回复交易所名称,并加入区块链安全情报社群查询。

2. 企业用户,如需测试网站/App是否存在安全漏洞,请联系info@bugx.io

本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者