漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-081382
漏洞标题：校无忧某系统CSRF+越权+逻辑漏洞，可删除全部管理员
相关厂商：校无忧
漏洞作者： px1624
提交时间：2014-11-03 12:25
修复时间：2015-02-01 12:26
公开时间：2015-02-01 12:26
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：18
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-11-03： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-02-01： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
通用系统，由于可以免费使用基础功能，所以用户量还可以额。
详细说明：
测试系统信息（官网最新版）：
官网：http://www.xiao5u.com/Product/Survey.html
系统名称：校无忧问卷调查系统
系统版本：V2.4
##1 后台管理员管理功能，删除管理员的请求为GET请求，直接是下面的请求。
##2 经过测试，这个URL可以呗利用进行CSRF攻击，id后面是要删除的管理员的id
##3 管理员的id是通过时间先后顺序依次生成的，admin的id就是1
经过测试发现，admin的id在网页页面是不允许执行删除操作的、
##4 但是测试后发现，只要直接发包请求，或者任意一个管理账号访问下面URL，就可以直接删除点admin的帐号。
http://127.0.0.1/asp/Survey/admin/Admin.asp?wor=del&id=1
##5 当然还没完，测试发现，可以利用CSRF删除点所有管理员的帐号，包括当前登录的那个。
##6 然后就悲剧了，后台管理员全部被删除了，退出后就登录不了了。
利用方式：
管理员id依次递增，系统默认只有3个管理员，id分别为1、2、3，所以只需要在某页面插入3个img，然后src分别对应这3个缺陷的CSRF连接就可以了。
由于存在CSRF，所以后台管理看到图片就会对img的src执行一次get请求。
由于存在设计缺陷和越权问题，所以只要看到一次，就把全部的管理员都给删掉了。
漏洞证明：
看上面。
修复方案：
1 CSRF漏洞：GET改为post，验证referer，或者加token验证。
2 越权漏洞：执行删除操作的时候，验证某些权限较高的id进行排除，比如一般管理员不能删除admin管理员。
3 逻辑漏洞：删除管理员的时候，应该不能删除自己啊！
版权声明：转载请注明来源 px1624@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝