漏洞概要
关注数(24)
关注此漏洞
漏洞标题:票友ERP管理系统最新版设计权限,直接拿到管理员身份,众多航班服务公司躺枪(附验证脚本)
提交时间:2016-01-04 13:46
修复时间:2016-02-20 15:48
公开时间:2016-02-20 15:48
漏洞类型:设计缺陷/逻辑错误
危害等级:高
自评Rank:20
漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理
Tags标签:
无
漏洞详情
披露状态:
2016-01-04: 细节已通知厂商并且等待厂商处理中
2016-01-08: 厂商已经确认,细节仅向厂商公开
2016-01-18: 细节向核心白帽子及相关领域专家公开
2016-01-28: 细节向普通白帽子公开
2016-02-07: 细节向实习白帽子公开
2016-02-20: 细节向公众公开
简要描述:
这个系统有很多航空服务公司都在用
所以请不要忽略,包括由于机场很多,我就不单独写,打包在一起,给个20吧
详细说明:
目前官方最新版为10.5.6
http://**.**.**.**/
经过测试在 /json_db/kefu_list.aspx?page=1&sidx=id&sord=asc 存在未授权访问
获得的是 个人用户资料 但是密码是明文的,
然后进一步测试 该ERP在添加用户的时候,验证的时候,只验证cookie
因此够造cookie就可以达到我们的目的
在上面我们说过/json_db/kefu_list.aspx?page=1&sidx=id&sord=asc这个连接存在未授权访问,
看看我们能获得什么消息
根据图中的信息我们可以得到username,truename,kefugroup,roles等字段,这样我们就可以构造
cookie了
添加用户的连接为
http://**.**.**.**/Ajax/users.ashx post请求
里面的数据为
fs=0&id=0&roles=22&username=testo&yusername=&pwd=testo&truename=testo&sex=男&age=1900-1-1&mob=&hk=&sfz=&zw=&kefugroup=总经办&week=×=
其中username,pwd,truename等都是要添加用户的属性,其中roles,kefugroup字段是与权限相关,不同网站是不一样的,从哪里获得呢?
可以根据之前/json_db/kefu_list.aspx?page=1&sidx=id&sord=asc链接里面所获得的数据
得到roles,kefugroup字段。
得到这些字段后,我们构造一个管理员的cookie,根据/json_db/kefu_list.aspx?page=1&sidx=id&sord=asc里面的数据
构造如下
cookie:pyerpcookie=loginname=admin&truename=系统管理员&flag=1&datagroup=all&kefugroup=总经办&kpgroup=0&kpdian=
kefugroup,truenamemloginname都是对应的填入
构造好后就可以直接发送了
附上自己的脚本,返回1表示添加成功,返回0表示添加失败,返回2表示重复添加
漏洞证明:
由图中可以看到,拿到的是管理员权限,危害性很高,全部个人信息都可以获得,以及升舱之类的所有管理功能
除此之外,还有更重要的,可以操纵资金。
受波及的航空公司有很多
案例
http://**.**.**.**/Main.aspx test11 test11
http://**.**.**.**/Main.aspx testo testo
http://**.**.**.**/Main.aspx test11 test11
http://**.**.**.**/Main.aspx test11 test11
http://**.**.**.**/Main.aspx test11 test11
通用漏洞,危害大,
求上首页。
修复方案:
漏洞回应
厂商回应:
危害等级:高
漏洞Rank:10
确认时间:2016-01-08 18:00
厂商回复:
CNVD确认所述情况,已由CNVD通过软件生产厂商(公开联系渠道向其邮件通报,由其后续提供解决方案并协调相关用户单位处置。
最新状态:
暂无