漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-087717
漏洞标题：迅游多个安全漏洞小礼包（成功进入后台）
相关厂商：重庆迅游科技有限公司
漏洞作者： 路人甲
提交时间：2014-12-18 18:35
修复时间：2014-12-19 09:30
公开时间：2014-12-19 09:30
漏洞类型：xss跨站脚本攻击
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-18： 细节已通知厂商并且等待厂商处理中
2014-12-19： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
没有过滤
详细说明：
漏洞地址：http://my.xunyou.com/index.php/memberpanel/selectfindmethod 依次操作选择账号申诉
经过测试这些地方都可以xss
没有任何过滤 随便写
12 01 左右成功用cookie 进入后台 不止一次！ 在后台 由于好奇心的驱使下
一顿瞎鼓捣；
不过现在已经进不去了 不知道 不在允许的范围内
管理大大可能发现了 我之前的操作了吧
sqlmap 一顿乱扫
提交工单哪里‘ 已经报错了 但是用sqlmap 却没扫出来注入
进入后台有任意文件上传漏洞 用burp 00截断突破 【在提交工单找到的上传】
无奈现在怎么试都无法进后台了 好不容易找到了 之前测试场上传的文件
http://gd.xunyou.com/upload/20141201/c4fd5b36eaadb6d5fa8a1b90412b390f.txt
http://gd.xunyou.com/upload/20141201/a647df03fcdf0cae8fc37b15ade020d2.jpg
还上传了403 php 404aspx asp 虽然网站程序返回了链接地址 感觉还是没有成功上传；
唯一让我感到惊讶的是 处理工单时 竟然用户修改的密码就在哪里写着 旁边还有个 复制的按钮；
随手找个了高级vip账户用 但是现在已经改密码了 就一个！
还有一处任意上传 只是做了本地js验证 burp 直接改了下后缀
可以上传一系列的东西挂马哦
http://cs.xunyou.com/index.php
http://cs.xunyou.com/index.php/thread/addthread/1
ps ---- 中间的小插曲 由于突然想到这个漏洞
大脑突然想到个小思路
然后这次xss到的cookie 在允许范围了
本来想等明天收信的 可是迅游客服很给力分分钟给我回信了
直奔gd.xunyou.com
成功进入 不知道为什么这次可以进去了 怎么又在允许了 我以为做了ip限制
http://cs.xunyou.com/upload/20141218/5428899/2f618a2649461253560d865ad59243b3.htm
1218 这个目录我今天上传了不少东西 exe php asp 都删了吧。。
万万没想到在提交漏洞的途中又成功复现了以前的漏洞 发现了新的漏洞
漏洞证明：
上面 写的很杂乱
修复方案：
过滤
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-12-19 09:30
厂商回复：
非常感谢您提交漏洞，但是四川迅游网络科技股份有限公司,我们是重庆迅游，完全是两家公司。如果有我司的漏洞，烦请及时提交，谢谢。
最新状态：
2014-12-19：很抱歉，我没有注意到“忽略漏洞”会导致细节会向公众显示，但努力找四川迅游的联系方式，只能找到商务联系，已邮件通知对方。