云班课一处CSRF间接导致的密码重置问题

4.29 追加:此漏洞已提交,但是厂家貌似没有打算修复的意思…
作为用户的补救方法:绑定邮箱,此漏洞针对未绑定邮箱的用户

全球战疫,大家都乖乖宅家上网课写网上作业,自从上次破解了云班课和学习通的视频进度和选择题之后,做网上作业的时候就不自觉地刨那么几下。

这个漏洞虽说能重置账户密码,但是比较简单,就简单写写吧。


在账户安全一栏中,发现了三个功能:关联手机、关联邮箱、修改密码。

有趣的是,其中修改密码和更换绑定邮箱需要验证当前密码,但是在没有邮箱的状态下绑定邮箱却缺乏验证。由于大家都不怎么在乎这些网课平台,自然也不会去绑定邮箱了,而绑定的邮箱可以用于重置当前账户密码。这样一来,基本就是任意账户密码重置了。

前面说再多也是猜想,验证一下。填入我的邮箱,抓一个请求包。

可以看到,POST提交的参数中只有我输入的一个邮箱,但是Cookie中有很多不能确定作用的值。后来我自己验证过,的确是一个CRSF,但是搞自己不行啊,请友军朋友帮忙做了个验证。PoC见下图

传到一台闲置的VPS上,发送了链接。朋友点击了链接,之后该我操作。
用户登录处点击找回密码,输入邮箱账号。

点击重置密码,邮箱收到重置密码链接。

点击链接,进行密码重置。

之后就顺利登陆了。


结语

学生的信息就不是信息吗,学生的隐私就不是隐私吗,垃圾平台…