当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-059453

漏洞标题：职友集网可以任意修改用户资料信息

相关厂商：职友集网

漏洞作者： Rain

提交时间：2014-05-05 12:48

修复时间：2014-06-19 12:48

公开时间：2014-06-19 12:48

漏洞类型：未授权访问/权限绕过

危害等级：中

自评Rank：6

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-05： 细节已通知厂商并且等待厂商处理中
2014-05-05： 厂商已经确认，细节仅向厂商公开
2014-05-15： 细节向核心白帽子及相关领域专家公开
2014-05-25： 细节向普通白帽子公开
2014-06-04： 细节向实习白帽子公开
2014-06-19： 细节向公众公开

简要描述：

职友集网可以任意修改用户资料信息囧

详细说明：

职友集网可以任意修改用户资料信息囧

漏洞证明：

测试登录，登录成功后，访问下面的网址
http://www.jobui.com/settings/people/profile/ 可以看到大概如下的效果

1.jpg


这是修改用户信息的，我们看看他的js代码实现吧

jQuery("#formsubmit").submit(function(){
	var $this = jQuery(this);
	var $submit = jQuery("#formsubmit-submit");
	
	$submit.attr("disabled", "disabled").tipsBox("loading", "正在提交数据...");
	
	jQuery.ajax({
		type : 'post',
		url : '/process/',
		data : $this.serialize(),
		dataType : 'json',
		success : function(data) {
			if( data['result'] >0 ){
				$submit.removeAttr("disabled").removeTipsBox().tipsBox("success", "修改成功", function(){
					window.location.href = data['param']['url'];
				});
			}else if( data['result'] == '-2' ){
				$submit.removeAttr("disabled").removeTipsBox().tipsBox("failure", "只支持少于20位的字母或者字母和数字组合");
			}else if( data['result'] == '-1' ){
				$submit.removeAttr("disabled").removeTipsBox().tipsBox("failure", "修改失败，该域名已被使用");
			}else {
				$submit.removeAttr("disabled").removeTipsBox().tipsBox("failure", "修改失败！");
			}
		}
	})
	return false;
});
$('#domain').blur(function(){
	var domain = $(this).val();
	var userID = $("#userID").val();
	$.ajax( {
		type : 'post',
		url : '/process/',
		data : {
			formAction : "user_profile_personalDomain",
			domain : domain,
			userID : userID
		},
		dataType : 'json',
		success : function(data) {
			if( data['result'] > 0 ){
				$("#emailtips").text("该域名已经被注册，请选择其它！").css("color","red");
			}else if( data['result'] == '-2'){
				$("#emailtips").text("域名不能为空").css("color","red");
			}else if( data['result'] == '-3'){
				$("#emailtips").text("只支持少于20位的字母或者字母和数字组合").css("color","red");
			}else{
				$("#emailtips").text("正确!").css("color","#999999");
			}
		}
	});	
});


可以看到关键在于它获取userid的方式
var userID = $("#userID").val();
哈哈，居然直接取文本的，那不是作死吗，让我相信了一句话，不做死，不会死呀。我们来测试一下效果，具体截图如下
首先任意访问一个用户的空间哦，任意选择，具体看截图

1.jpg


可以看到，这个小帅哥id是13755 对不起了哦，我们来改改小帅哥资料吧

1.jpg


我先改一下hidden的userid，这样我们提交到时候就是小帅哥的了

1.jpg


好了，我们来update我们的资料吧

1.jpg


1.jpg


下面我们继续访问刚刚小帅哥的主页网址，http://www.jobui.com/people/13755/

1.jpg


发现访问不了了，囧，为什么呢？很简单，因为刚刚主页已经被我改了呀
至于帅哥哥头像不改了了，留着吧

修复方案：

你懂得

版权声明：转载请注明来源 Rain@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-05-05 14:07

厂商回复：

感谢白帽子专业的精神，我们会第一时间修复该漏洞，保护用户的资料，继续关注乌云的

最新状态：

暂无