漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-048409
漏洞标题：TOM游戏某处越权可修改任意玩家头像
相关厂商：TOM在线
漏洞作者： felixk3y
提交时间：2014-01-09 18:35
修复时间：2014-02-23 18:35
公开时间：2014-02-23 18:35
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-01-09： 细节已通知厂商并且等待厂商处理中
2014-01-10： 厂商已经确认，细节仅向厂商公开
2014-01-20： 细节向核心白帽子及相关领域专家公开
2014-01-30： 细节向普通白帽子公开
2014-02-09： 细节向实习白帽子公开
2014-02-23： 细节向公众公开
简要描述：
TOM游戏某处越权可修改任意玩家头像
详细说明：
#1 说在前面的话
记得上次提交了个任意命令执行的漏洞,你们给了13Rank,然而看看Tom以往出现过的漏洞,随便一个SQL注入,少则16 7,多则封顶20,任意文件上传 可直接拿shell的洞,基本就13Rank.
好吧 我知道了,在你们眼中SQL注入比直接可以拿到shell甚至服务器权限的漏洞还要更严重,想了想，或许是你们觉得SQL注入可以直接影响到用户,用户至上嘛 这个我懂.呵呵..
最后说句悄悄话：服务器权限都在手了,SQL注入还算个啥,还请好好思考思考..
#2 进入正题...
漏洞出在PK游戏社区
随便注册一个账号,登陆到个人中心
编辑个人资料,这里以修改头像为例
点击上传后抓包，如图
这里我们将userid 改为 861119,提交
玩家861119 以前的头像
更改后
看见了吧,成功的修改了861119玩家的头像...
其他资料也是可以修改的,这里就不测试了,你们检查下..
漏洞证明：
#3 后记
呵呵，要是我们把所有玩家的头像,信息等全部修改了,后果会怎样呢,@TOM在线 你们可以仔细想象一下这个越权导致危害哦...:):):):)
修复方案：
你们的工程师懂.
版权声明：转载请注明来源 felixk3y@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：16
确认时间：2014-01-10 16:45
厂商回复：
非常感谢您对TOM在线的帮助，我们会尽快做出处理。我们为支持TOM在线的发布者创建了一个技术交流QQ群：328442670，希望您以及更多的成员加入，大家共同交流。同时TOM在线在通过公司申请后会不定期发送礼品给发布者，以表您对TOM在线的支持。
最新状态：
暂无