当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-063655

漏洞标题：ECSHOP前台任意用户登录

相关厂商：ShopEx

漏洞作者： 路人甲

提交时间：2014-06-05 15:28

修复时间：2014-09-03 15:30

公开时间：2014-09-03 15:30

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-06-05： 细节已通知厂商并且等待厂商处理中
2014-06-06： 厂商已经确认，细节仅向厂商公开
2014-06-09： 细节向第三方安全合作伙伴开放
2014-07-31： 细节向核心白帽子及相关领域专家公开
2014-08-10： 细节向普通白帽子公开
2014-08-20： 细节向实习白帽子公开
2014-09-03： 细节向公众公开

简要描述：

由于代码设计缺陷 导致网站任意用户登录

详细说明：

影响文件:flow.php 188行开始

elseif ($_REQUEST['step'] == 'login')
{
    include_once('languages/'. $_CFG['lang']. '/user.php');
    /*
     * 用户登录注册
     */
    if ($_SERVER['REQUEST_METHOD'] == 'GET')
       .....
    else
    {
        include_once('includes/lib_passport.php');
        if (!empty($_POST['act']) && $_POST['act'] == 'signin')
        {
            $captcha = intval($_CFG['captcha']);
            if (($captcha & CAPTCHA_LOGIN) && (!($captcha & CAPTCHA_LOGIN_FAIL) || (($captcha & CAPTCHA_LOGIN_FAIL) && $_SESSION['login_fail'] > 2)) && gd_version() > 0)
            {
                if (empty($_POST['captcha']))
                {
                    show_message($_LANG['invalid_captcha']);
                }
                /* 检查验证码 */
                include_once('includes/cls_captcha.php');
                $validator = new captcha();
                $validator->session_word = 'captcha_login';
                if (!$validator->check_word($_POST['captcha']))
                {
                    show_message($_LANG['invalid_captcha']);
                }
            }
            if ($user->login($_POST['username'], $_POST['password'],isset($_POST['remember'])))
            {
                .....
            }


上面代码中执行了 登录操作 $user->login($_POST['username'], $_POST['password'],isset($_POST['remember'])
login方法如下：（

function login($username, $password, $remember = null)
    {
        if ($this->check_user($username, $password) > 0)
        {
            if ($this->need_sync)
            {
                $this->sync($username,$password);
            }
            $this->set_session($username);
            $this->set_cookie($username, $remember);
            return true;
        }
        else
        {
            return false;
        }
    }
function check_user($username, $password = null)
    {
        $post_username = $username;
        /* 如果没有定义密码则只检查用户名 */
        if ($password === null)
        {
            $sql = "SELECT " . $this->field_id .
                   " FROM " . $this->table($this->user_table).
                   " WHERE " . $this->field_name . "='" . $post_username . "'";
            return $this->db->getOne($sql);
        }
        else
        {
            $sql = "SELECT " . $this->field_id .
                   " FROM " . $this->table($this->user_table).
                   " WHERE " . $this->field_name . "='" . $post_username . "' AND " . $this->field_pass . " ='" . $this->compile_password(array('password'=>$password)) . "'";
            return  $this->db->getOne($sql);
        }
    }


登录操作最终执行check_user方法，当用户密码为null时，只判断用户名。而在flow.php中并没有对密码进行判断或者初始化。可以只通过账号就可以实现登录。
url: ./flow.php?step=login
POST: act=signin&username=xxxx&captcha=yyyyy
captcha是验证码，有时候是不需要验证码的

漏洞证明：

影响文件:flow.php 188行开始

elseif ($_REQUEST['step'] == 'login')
{
    include_once('languages/'. $_CFG['lang']. '/user.php');
    /*
     * 用户登录注册
     */
    if ($_SERVER['REQUEST_METHOD'] == 'GET')
       .....
    else
    {
        include_once('includes/lib_passport.php');
        if (!empty($_POST['act']) && $_POST['act'] == 'signin')
        {
            $captcha = intval($_CFG['captcha']);
            if (($captcha & CAPTCHA_LOGIN) && (!($captcha & CAPTCHA_LOGIN_FAIL) || (($captcha & CAPTCHA_LOGIN_FAIL) && $_SESSION['login_fail'] > 2)) && gd_version() > 0)
            {
                if (empty($_POST['captcha']))
                {
                    show_message($_LANG['invalid_captcha']);
                }
                /* 检查验证码 */
                include_once('includes/cls_captcha.php');
                $validator = new captcha();
                $validator->session_word = 'captcha_login';
                if (!$validator->check_word($_POST['captcha']))
                {
                    show_message($_LANG['invalid_captcha']);
                }
            }
            if ($user->login($_POST['username'], $_POST['password'],isset($_POST['remember'])))
            {
                .....
            }


上面代码中执行了 登录操作 $user->login($_POST['username'], $_POST['password'],isset($_POST['remember'])
login方法如下：（

function login($username, $password, $remember = null)
    {
        if ($this->check_user($username, $password) > 0)
        {
            if ($this->need_sync)
            {
                $this->sync($username,$password);
            }
            $this->set_session($username);
            $this->set_cookie($username, $remember);
            return true;
        }
        else
        {
            return false;
        }
    }
function check_user($username, $password = null)
    {
        $post_username = $username;
        /* 如果没有定义密码则只检查用户名 */
        if ($password === null)
        {
            $sql = "SELECT " . $this->field_id .
                   " FROM " . $this->table($this->user_table).
                   " WHERE " . $this->field_name . "='" . $post_username . "'";
            return $this->db->getOne($sql);
        }
        else
        {
            $sql = "SELECT " . $this->field_id .
                   " FROM " . $this->table($this->user_table).
                   " WHERE " . $this->field_name . "='" . $post_username . "' AND " . $this->field_pass . " ='" . $this->compile_password(array('password'=>$password)) . "'";
            return  $this->db->getOne($sql);
        }
    }


登录操作最终执行check_user方法，当用户密码为null时，只判断用户名。而在flow.php中并没有对密码进行判断或者初始化。可以只通过账号就可以实现登录。
url: ./flow.php?step=login
POST: act=signin&username=xxxx&captcha=yyyyy
captcha是验证码，有时候是不需要验证码的

修复方案：

初始化密码

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-06-06 09:16

厂商回复：

非常感谢您为shopex信息安全做的贡献
我们将尽快修复,发布补丁
非常感谢

最新状态：

暂无