bilibili某功能设计不当可任意修改用户密码（只需提供用户id）

通过提供注册邮箱找回密码的方式，会注册邮箱发送一封包含有修改密码页面的链接的邮件

形如：

https://passport.bilibili.com/resetpwd/set?dopost=getpasswd&id=******&key=****************

通过测试发现使系统发送找回密码的邮件之后（如果不发送虽然之后也可以看到修改密码的界面但会提示“请不要非法提交”），访问上述形式的链接只不过key的值设置为空字符串是可以正常显示修改密码的界面并且可以成功的修改密码，并不需要邮件里的那个key

但这种方法还是需要知道用户的注册邮箱，且对非邮箱注册用户无效

通过浏览器的开发者工具可以看到修改密码的请求包如下

通过测试发现将POST数据当中的step参数的值修改非2或3的数字（比如1）即可不用发送找回密码的邮件直接根据用户id修改密码（别问我为什么……这漏洞简直匪夷所思……）

以站长的账号（用户名：bishi；用户id：1）为例

构造POST请求至

https://passport.bilibili.com/resetpwd/set?id=1&key=

传递数据

Content-Type:x-www-form-urlencoded
 step=1&newpwd=wooyun_test&newpwd_confirm=wooyun_test

密码被修改为 wooyun_test

接下来尝试登录一下

使用用户名bishi密码wooyun_test

成功

修正代码逻辑

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2016-03-31 10:27

厂商回复：

匪夷所思的漏洞。。。开发已经被比利带到小黑屋肛了~

最新状态：

暂无

1. 2016-03-31 12:17 | x012 ( 路人 | Rank:6 漏洞数:5 | )

   3

   @厂商，什么时间放出视频

   1# 回复此人

2. 2016-04-04 21:59 | F4ther ( 实习白帽子 | Rank:42 漏洞数:13 | 有些人挖洞就是为了挖洞。仅此而已。)

   1

   ..被你提交了啊

   2# 回复此人

3. 2016-05-15 13:11 | 陆由乙 ( 普通白帽子 | Rank:620 漏洞数:137 | 我是突突兔！)

   0

   有意思。

   3# 回复此人

4. 2016-05-16 18:03 | 剑芯 ( 实习白帽子 | Rank:48 漏洞数:15 | xsser)

   0

   蜜汁漏洞

   4# 回复此人