100.com的一个漏洞(中)

TOC
  1. 1.
  2. 2.
  3. 3.
  4. 4.

今天没活干,于是把朋友在YY面试的几个问题给过了,然后又鬼使神差地看了XSS,上次[100.com的漏洞]貌似还没解决, 好吧,貌似他们没有很重视.

没关系,我再玩一下这个漏洞.漏洞注入方式可以参考我的上一篇100.com的一个漏洞(上),因为这个漏洞还没解决,所以各位看官,手下留情… 不然你懂的

回到正题:
这回干脆就获取了用户cookie, 话不多说,贴图:

用户cookie

这就是某个YY用户账户的所有cookie….

那么估计有人就问了:

特么要是别人不点你的网页,那这还是没什么卵用啊.

答:

没错, 别人不点确实没啥卵用, 但是请别忽略了YY的用户数量是什么级别的…只要有人在它的论坛上发一个[能够产生足够大传播量的帖子],并附上这个已被注入的链接提示用户点击…那也会是相当有趣的场面, 可能[技术至上]的程序员们对这些社工行为不屑,但是请别忘了Kevin David Mitnick 那本非常著名的书,叫做 <<欺骗的艺术>>….

获取到用户cookie的第一刻,自然觉得非常有趣,于是就想着怎么从返回的cookie里获取到用户id和密码,id自然好说,但是密码就不好搞了,因为一般公司都不会傻逼到不对密码加密就直接发送的, 而通常的加密方式是MD5加密,至于它是怎样的加密方式,请自行点击链接,因为我也只是达到被普及这个概念的水平.

不过:

对密码使用MD5加密后, 通常是16或者32位的.

比如拿最常见的admin做MD5加密: (注意下面的字符没有空格的,我加了空格是为了方便对比)

  • 16位加密: 7a57a5a7 43894a0e
  • 32位加密: 21232f29 7a57a5a7 43894a0e 4a801fc3

然而我拿到cookie里面的password字段却是40位,而且又只有字母和数字,前面提到了,MD5加密后是16或者32位,那么问题来了:

  • 40位明显不符合MD5加密后规则
  • 密文只有数字和字母

所以我便尝试goole一下40位的MD5加密, 还真有结果, 我觉得又有戏了.也顺便涨了姿势:
于是我们对admin进行所谓 40位的加密, 根据网上的教程, 结果如下:

  • 40位加密: 7a57a5a7 43894a0e 4a801fc3 43894a0e 4a801fc3

然而:

当我40位的password字段准备去破解时….失败了(这是必然的), 即便后来裁员提示我用自己的密码做正向测试,还是没什么卵用…非常有可能加密不只局限于用了MD5而已

这就意味着,password这个字段几乎无解

猜想: 这可能是记录状态的一个字段

不过到这里, 已经超出我现在掌握的知识范围了. 所以现状就是,我大概是闯入你家大门,但是还没能力进主人的房间.

这时候我们这样想: 虽然我进不了你房间, 可是我还是能够在你房间外面的其他地方耍耍的….对吧?

待续(如果有[下]的话)

访客评论