当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(7) 关注此漏洞

缺陷编号: WooYun-2014-80114

漏洞标题: 骑士人才系统 7处越权+2处sql

相关厂商: 74cms.com

漏洞作者: menmen519

提交时间: 2014-10-21 17:26

公开时间: 2015-01-19 17:28

漏洞类型: 非授权访问/权限绕过

危害等级: 高

自评Rank: 20

漏洞状态: 厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 help@wooyun.org

Tags标签: 设计缺陷/边界绕过

1人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-10-21: 细节已通知厂商并且等待厂商处理中
2014-10-22: 厂商已经确认,细节仅向厂商公开
2014-10-25: 细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航无声信息
2014-12-16: 细节向核心白帽子及相关领域专家公开
2014-12-26: 细节向普通白帽子公开
2015-01-05: 细节向实习白帽子公开
2015-01-19: 细节向公众公开

简要描述:

骑士人才系统 7处越权+1处sql

详细说明:

wap_user.php:



一下越权都是没有uid的参与,导致任意修改数据库任何记录



第一处:



code 区域
elseif($act == "resume_work_del")
{

//越权
$smarty->cache = false;
$id=intval($_GET['work_id']);
$sql="delete from ".table("resume_work")." where id=$id";
if($db->query($sql)){
exit("ok");
// WapShowMsg("删除工作经验成功",1);
}else{
exit("err");
// WapShowMsg("删除工作经验失败",0);
}
}







第二处:

code 区域
// 删除教育经历
elseif($act == "resume_education_del")
{
$smarty->cache = false;
$id=intval($_GET['education_id']);
//越权
$sql="delete from ".table("resume_education")." where id=$id";
if($db->query($sql)){
exit("ok");
// WapShowMsg("删除教育经历成功",1);
}else{
exit("err");
// WapShowMsg("删除教育经历失败",0);
}
}





第三处:



code 区域
elseif($act == "resume_train_del")
{
$smarty->cache = false;
//越权
$id=intval($_GET['train_id']);
$sql="delete from ".table("resume_training")." where id=$id";
if($db->query($sql)){
exit("ok");
// WapShowMsg("删除培训经历成功",1);
}else{
exit("err");
// WapShowMsg("删除培训经历失败",0);
}
}







第四处:



code 区域
elseif($act == "resume_evaluation_save")
{
$_POST=array_map("utf8_to_gbk",$_POST);
$smarty->cache = false;
$id=$_POST['pid'];
//越权
$specialty=$_POST['specialty']?$_POST['specialty']:exit("请填写自我评价");
$sql="update ".table("resume")." set specialty='$specialty' where id=$id";
if($db->query($sql)){
exit("ok");
}else{
exit("err");
}

}





这一出 存在sql简单注入$sql="update ".table("resume")." set specialty='$specialty' where id=$id";





第五处:

code 区域
// 删除屏蔽企业
elseif($act == "shield_company_del")
{
$smarty->cache = false;
$id=$_GET["id"];
//越权
$sql="delete from ".table("personal_shield_company")." where id=$id";
$db->query($sql)?exit("ok"):exit("err");
}







第六处:



code 区域
// 升级高级简历
elseif($act == "resume_talent")
{
$smarty->cache = false;
$id=$_GET["pid"];
$setsqlarr["talent"]=3;
//越权
updatetable(table("resume"),$setsqlarr,array("id"=>$id))?exit("ok"):exit("err");
}







第七处:

code 区域
elseif($act == 'resume_name_save')
{
$smarty->cache = false;
$_POST=array_map("utf8_to_gbk", $_POST);
$title=trim($_POST['title'])?trim($_POST['title']):exit("请输入简历名称");
//越权+sql
$sql="update ".table("resume")." set title='$title' where id=$_POST[resume_id]";
if($db->query($sql)){
exit("ok");
}else{
exit("err");
}

}





存在简单sql注入$sql="update ".table("resume")." set title='$title' where id=$_POST[resume_id]";

漏洞证明:

w

修复方案:

版权声明:转载请注明来源 menmen519@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2014-10-22 11:01

厂商回复:

感谢反馈!

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-10-21 17:49 | 铁蛋火车侠 ( 普通白帽子 | Rank:156 漏洞数:31 | Q群371620085 技术交流群 有漂亮妹纸!)
    1

    咋这么多嘞

登录后才能发表评论,请先 登录