漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0140272
漏洞标题：我们的婚礼越权漏洞可获取所有用户婚礼信息及照片文件
相关厂商：上海募合信息技术有限公司
漏洞作者： repoog
提交时间：2015-09-15 12:32
修复时间：2015-10-30 12:34
公开时间：2015-10-30 12:34
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：18
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-09-15： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-10-30： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
“我们的婚礼”APP及微信公众号后台存在越权漏洞可以获得管理员权限，从而获取所有用户婚礼信息、婚纱照文件以及红包信息等等。
详细说明：
1、访问“我们的婚礼”后台地址：http://xinhun.li/ourwedding/cms/admin.php?mod=index&act=login，点击“注册”创建新的用户；
2、以创建的用户登陆后台，使用浏览器开发者工具查看cookie信息，其中的ccinfo字段为BASE64编码，解码可见用户ID及加密后的用户密码，且用户ID为5位字符；
3、替换ccinfo编码后的ccinfo字段中的用户ID为00001，编辑cookie发送请求即可获得后台管理员权限。
漏洞证明：
1、查看其他用户婚礼信息：
2、推送IOS消息：
3、管理用户红包：
4、查看数据统计：
修复方案：
1、对用户ID进行哈希加密处理，并在服务端进行比对；
2、对cookie进行对称加密处理后再进行BASE64编码，如AES+BASE64；
版权声明：转载请注明来源 repoog@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝