被小伙伴们蠢哭了的那些事儿：找回密码篇 - 旁观者
- - 博客园_旁观者-郑昀郑昀 创建于2014-01-12；. 最后更新于2014-01-13.. 找回密码功能是漏洞传统重灾区，下面列出两个经典错误点，请引以为戒吧Web开发工程师们. 一）以为用户不会抓包不会看源码不会分析表单参数，HTML文档和表单里想写啥就写啥. +手机App的忘记密码功能：. 首先，通过抓包分析，发现密码重置接口可以Web访问；其次，填入手机号码提交，.
被小伙伴们蠢哭了的那些事儿：找回密码篇 - 旁观者
标签：
伙伴们
密码
旁观者
| 发表时间：2014-01-13 18:28 | 作者：旁观者
出处：
郑昀 创建于2014-01-12；
最后更新于2014-01-13.
找回密码功能是漏洞传统重灾区，下面列出两个经典错误点，请引以为戒吧Web开发工程师们！
- Web安全：
- 一）以为用户不会抓包不会看源码不会分析表单参数，HTML文档和表单里想写啥就写啥
- 1）某手网：
- +手机App的忘记密码功能：
- 首先，通过抓包分析，发现密码重置接口可以Web访问；其次，填入手机号码提交， 服务器端的响应中居然包含明文短信验证码，虽然是在JavaScript中的注释里；
-
- 补充案例：绝非个案。如第三方支付平台支付通也干过， http://www.wooyun.org/bugs/wooyun-2010-022378；走秀网干过， http://www.wooyun.org/bugs/wooyun-2012-05630；
- 2）PPS：
- +网页版忘记密码功能：
- 贴心地实现了“重新发送找回密码邮件”功能；但是，不幸地 在这个GET请求的URL里，目标email参数是明文的；从而可以将任意用户的密码重置邮件发给指定邮箱；
-
-
- 3）新网互联：
- +网页版忘记密码功能：
- 页面虽然展示的是星号遮挡的邮箱地址，但HTML文档构造的 表单参数里却使用邮箱明文，最终导致土豆网域名被劫持；
-
-
-
- 4）搜狐：
- +网页版找回密码功能：
- 找回密码时要回答“密码提示问题”；但是工程师把 答案明文写在 textarea 控件的JS校验函数里了，导致可以重置任意搜狐用户密码；
-
- 二）把MD5(key)加密当成神器，殊不知在MD5爆破库面前等于说明文传递
- 1）奇虎360：
- +网页版找回密码功能：
- 360的找回密码邮件里，重设密码地址格式为：http://i.360.cn/findpwd/setpwdfromemail?vc= %一个MD5加密串%&u=blabla%40gmail.com；
- 利用MD5爆破库逆向解密后发现，这个MD5加密串是一个类似于1339744000的数字，很像是UNIX时间戳；
- 白帽子进一步验证后猜测，用户找回密码时，系统将此时的UNIX时间戳，与帐号绑定，记录在密码重置队列里，修改该用户的密码时会验证输入的vc参数；
- 看似合理，但360工程师忽略了一个细节：假如这个时间戳是新生成的，攻击者就能在一定时间段内进行暴力破解，给定任意邮箱，很快就能算出一个有效的重置密码链接；
-
- 2）某牛网：
- +注册激活邮件功能：
- 注册某牛网后，系统发的注册邮件里，激活URL里id参数实际上是用户的userid， str参数则是MD5(id)加密串，如下图所示；
- 这样能注册任意邮箱并激活，或遍历所有整数id激活；
-
-
- 补充案例：绝非个案。中国邮政旗下某站点的找回密码也这么销魂过， http://www.wooyun.org/bugs/wooyun-2013-039383；
参考资源：
1，2011，陈皓， 你会做Web上的用户登录功能吗？；
2，2013，乌云知识库， 密码找回功能可能存在的问题；
3，2013，郑昀， Web开发基本准则-55实录-Web访问安全。
-over-
马年继续赠图几枚：
不要在地毯上刹车啊
让老板以为你在上班的神器： http://targetkiller.net/hackertyper/index.html
通病啊通病：『据一位腾讯电商的前产品经理透露，腾讯电商的产品经理、工程师更执着于测试网购流程、响应速度等，希望能够减少步骤提升体验，却忽略了需要 更强大技术支持的供应链、物流等业务体系。』注意力过于集中于C而不是B和I——《腾讯电商门前摔了一跤:“QQ+”模式失效 http://t.cn/8FhPSQv》
本文链接： http://www.cnblogs.com/zhengyun_ustc/p/resetpwd.html，转载请注明。
相关 [伙伴们 密码 旁观者] 推荐：
呵旁观者文 （梁启超）
- 云透 - 非常日报天下最可厌、可憎、可鄙之人，莫过于旁观者. 旁观者，如立于东岸，观西岸之火灾，而望其红光以为乐；如立于此船，观彼船之沈溺，而睹其凫浴以为欢. 若是者，谓之阴险也不可，谓之狠毒也不可，此种人无以名之，名之曰无血性. 嗟乎，血性者，人类之所以生，世界之所以立也；无血性，则是无人类、无世界也. 故旁观者，人类之蟊贼，世界之仇敌也.
Nokia CEO 说，就 Google/Motorola 合并而言 – Android 合作伙伴们要小心喏…
- ROY - 谷安——谷奥Android专题站很明显的迹象是 Nokia（诺基亚）受到了 Google 收购 Motorola（摩托罗拉）的影响，Stephen Elop 在今天的 Helinski 研讨会上有一些很有意思的说法，看起来 Mr. Elop 好像对于这个收购的事情不太高兴呀，因为他告诫众 Android OEM 厂商：. 如果我正好是 Android 制造商、运营商或是股份持有人，我会拿起手机给 Google 高管打个电话说“我觉得前途危险噢”，我的第一反应是我非常清楚第三方生态环境和合作伙伴的重要性，也就是我们在 2月11日 宣布事情，这比以往更加清楚.
技术总监是干什么的？ - 旁观者
- - 博客园_旁观者-郑昀郑昀 创建于2013/12/16. 最后更新于2014/2/24. 本文遵循 Creative Commons 姓名标示-非商业性使用-禁止演绎 许可协议. 转载时请注明“转载自知乎”或者给出转载文章的 原始链接. 庄表伟曾撰文 谈及研发管理 的三个提升，由于研发、质量保障、运维三者连接紧密、不分家，所以下面郑昀将其扩展了一下：要『从一个整体来考虑企业的研发管理，应该注重建立一个良性的循环：.
异地双活的四个误区 - 旁观者 - 博客园
- -郑昀（老兵笔记） 20190305. 阿里云华北二机房2019年3月3日凌晨服务中断长达三小时，我在微博上喊出了：工程师赶紧起床，切多活流量啊. 多年前，大家往往做成了灾备机房，一主一备. 结果是，真正灾难发生的时候，最高领导人下不了决心切机房，因为无法预料切换后果（灾难总是不期而遇，切过去就可能切不回来了）.
我当初是怎么管理技术团队的 - 旁观者 - 博客园
- -关键词：管理技术人才、管理技术团队、技术传承、对题集/错题集、研发哲学. 窝窝技术团队大约两三百人左右，主要是五大块：研发、数据、无线、质量、运维. 2012年年初，一个大项目结束后，我召开了飞行研讨会，经过这次深刻反思，形成了几个影响深远的管理观点：. 管理者要向下提供工具，以形成干部的简单、易记忆、易执行的工作套路.
云纵持续交付环境管理进化历程 - 旁观者 - 博客园
- -破天（李进庄）、冬草（宋玥辉） 创作于2018-9-10. 一个公司的运维能力强弱和你线上环境敲命令是有关的，. 你越是喜欢上线敲命令，你的运维能力就越弱，. 越是通过自动化来处理问题，你的运维能力就越强. 持续集成（Continuous Integration, CI）是一种软件开发实践，即团队开发成员经常集成他们的工作，通过每个成员每天至少集成一次，也就意味着每天可能会发生多次集成.
那些年我们一起犯过的错 - 旁观者 - 博客园
- -阶段性小结： 错误是我们的财富. 对于事故处理，我们遵从航天二十字诀： 定位准确、机理清楚、可以复现、措施有效、举一反三. “丰田生产体系”与航空航天的这个原则是相通的，如果对待错误的态度是开诚布公的，那么整套系统就能从中学习，能取得进步. 我们坚持每错必查、错了又错就整改、每错必写，用身体力行告诉每一个新员工直面错误、公开技术细节、分享给所有人，长此以往，每一次事故都会变为我们的财富.
【外刊IT评论网】“旁观者效应”是如何毁掉我们的代码的
- - 外刊IT评论1964年，纽约昆斯区，28岁的Kitty Genovese在经受了长达35分钟的性侵犯后最终被谋杀致死，共有38个本地区人性正常的居民经过，但没有一人提供帮助. 图片来源: Abu Badali, CC 2.5, via. 这个故事例证了 ‘旁观者效应’中的一个不幸的心理特：援助的几率与旁观者人数成反比.
oracle 忘记密码
- - Oracle - 数据库 - ITeye博客Oracle一段时间不用了，再登录就登不上去，真乃怪哉，不止俺一人出现此问题，先不问为什么出现这个现象，解决这个问题应急先，网上搜罗解决办法，. ORA-01017 invalid username/password;logon denied" (密码丢失解决方案）. 1、先确认是否输错 用户名和密码.